PT-2026-123017
CVE-2026-116176
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
vLLM الإصدارات 0.9.2 through 0.23.x
Description
تسمح ثغرة تزوير الطلبات من جهة الخادم (SSRF) لمستخدمي واجهة برمجة التطبيقات بفرض اتصالات خارجية عن طريق تضمين عنوان فك تشفير في رأس
X-Request-Id. يمكن أن يؤدي ذلك إلى قيام عامل prefill الخاص بـ P2pNcclConnector بإجراء ZMQ-connect إلى مضيف يتحكم فيه المهاجم، مما يؤدي إلى تسريب unique id الخاص بـ NCCL وتنسورات KV-cache، أو تسبب في حظر العامل.Recommendations
تحديث vLLM إلى الإصدار 0.24.0 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾