PT-2026-123019
CVE-2026-116178
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
vLLM الإصدارات من 0.20.0 إلى 0.29.9
الوصف
توجد ثغرة تؤدي إلى حجب الخدمة تسمح للمهاجمين عن بُعد بتعطيل المحرك عن طريق إرسال بيانات وصفية متعددة الوسائط غير متسقة إلى نقطة النهاية المفصلة '/inference/v1/generate'. يحدث هذا عندما يتم إعادة إرسال عنصر متعدد الوسائط صالح بنطاقات
mm placeholders مكررة أو متداخلة، أو عندما تكون قوائم kwargs data و mm hashes غير متطابقة. تؤدي هذه الإجراءات إلى إنشاء نطاق نصي سلبي أثناء بناء موضع Qwen2.5-VL، مما يتسبب في إيقاف المحرك.التوصيات
تحديث vLLM إلى الإصدار 0.30.0 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/inference/v1/generate' للمستخدمين الموثوقين فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾