CVE-2026-73556

إصدارات vLLM الأقدم من 0.26.0

قد يتسبب الطلب غير المصادق عليه الموجه إلى نقطة النهاية ’/v1/completions‘ في حدوث هجوم رفض الخدمة (DoS) من خلال استهلاك نواة وحدة المعالجة المركزية (CPU) وتعطيل مسار محرك الإخراج المنظم. يحدث هذا لأن المعلمة structured outputs.regex الموجودة في الملف vllm/v1/structured output/backend lm format enforcer.py يتم تمريرها إلى lmformatenforcer.RegexParser داخل الدالة validate structured output request lm format enforcer دون إجراء التحقق من الصحة المناسب أو مهلة تجميع. وهذا يسمح باستخدام تعبير عادي كارثي، وهو نمط يتسبب في تأخيرات معالجة شديدة عند مطابقته مع سلاسل معينة.

قم بالتحديث إلى الإصدار 0.26.0.

كإجراء تخفيفي مؤقت، تجنب استخدام المعلمة structured outputs.regex في نقطة النهاية ’/v1/completions‘.