PT-2026-48537
CVE-2026-47155
·
تاريخ النشر
2026-06-10
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات vLLM الأقدم من 0.22.0
الوصف
vLLM هو محرك استدلال وتقديم خدمة لنماذج اللغة الكبيرة. يحتوي البرنامج على مشكلة تتعلق بسلامة سلسلة التوريد، حيث لا يتم تطبيق ضوابط تثبيت الإصدارات بشكل متسق على جميع العناصر التي يتم تحميلها للنموذج. عندما يستخدم النشر
--revision أو --code-revision، قد يستمر vLLM في تحميل مكونات معينة من إصدار غير مثبت أو إصدار افتراضي. تشمل هذه المكونات الكود الديناميكي، وملفات GGUF، ومعالجات الصور، وأوزان جانب الاسترجاع، أو الأوزان والتكوينات من المجلدات الفرعية في نفس المستودع.تشير التفاصيل الفنية إلى أن المشكلة تنبع من الانتشار غير السليم لتثبيت العناصر الصريحة عبر مسارات التحميل المختلفة. على سبيل المثال، تتجاهل الدالة
try resolve transformers() code revision لاستيرادات الوحدات النمطية الديناميكية الخارجية auto map، ويتم استدعاء الدالة hf hub download() بدون وسيطة revision لنماذج GGUF ذات الملفات المباشرة. بالإضافة إلى ذلك، تُعلن تطبيقات نماذج محددة مثل Kimi-Audio و BGE-M3 عن أوزان أو تكوينات ثانوية باستخدام revision=None، مما يؤدي إلى حلها خارج نطاق الإصدار الذي خضع للتدقيق.التوصيات
تحديث vLLM إلى الإصدار 0.22.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾