PT-2026-90658 · Vllm · Vllm
CVSS v4.0
8.5
عالية
| المتجه | AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Name of the Vulnerable Software and Affected Versions
vLLM versions prior to 0.28.0
Description
A remote code execution issue exists in the LlavaOnevision2 processor loader. The loader ignores the
trust remote code parameter when loading remote processor classes, allowing a malicious model containing arbitrary code in processing llava onevision2.py to execute with the authority of the vLLM process during processor import or initialization, even if trust remote code is set to False.Recommendations
Upgrade to version 0.28.0.
استغلال
إصلاح
RCE
Code Injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Vllm