PT-2026-30199
CVE-2026-34756
·
تاريخ النشر
2026-04-03
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vLLM من 0.1.0 إلى 0.18.9
الوصف
توجد ثغرة أمنية من نوع «رفض الخدمة» (DoS) في خادم واجهة برمجة التطبيقات (API) vLLM المتوافق مع OpenAI. نظرًا لعدم وجود تحقق من الحد الأعلى للمعلمة
n في نماذج Pydantic ChatCompletionRequest وCompletionRequest، يمكن لمهاجم غير مصدق إرساله طلب HTTP واحد بقيمة n هائلة للغاية. يؤدي هذا إلى حظر حلقة أحداث Python asyncio تمامًا ويسبب أعطالًا فورية بسبب نفاد الذاكرة (Out-Of-Memory) عن طريق تخصيص ملايين النسخ من كائنات الطلب في الذاكرة المؤقتة (heap) قبل أن يصل الطلب حتى إلى قائمة انتظار الجدولة. يكمن السبب الجذري في عدم وجود فحوصات للحد الأعلى أثناء تحليل الطلبات والجدولة غير المتزامنة. تؤثر هذه الثغرة الأمنية على أي فرد أو مؤسسة تستضيف خادم واجهة برمجة تطبيقات (API) vLLM متاحًا للجمهور ومنصات SaaS/AI-as-a-Service التي تعمل كبروكسيات عكسية دون التحقق الصارم من حمولة نص HTTP أو فرض قيود على معدل الاستخدام.التوصيات
التحديث إلى الإصدار 0.19.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾