1Diot9

vLLM is an inference and serving engine for large language models. Prior to 0.30.0, the Rust frontend's track http metrics middleware records the raw HTTP method token as a Prometheus label for requests reaching registered routes. An unauthenticated attacker can send unique arbitrary method tokens to unguarded routes such as /tokenize, causing Prometheus's Family::get or create function to permanently create counter and histogram label sets. Those label sets increase process memory usage and enlarge the /metrics response until the service or monitoring path is exhausted. This issue is fixed in version 0.30.0.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões 2.0.0 through 2.0.24 **Description** Existe um escape de sandbox de conteúdo Twig onde o filtro `array` está incluído na lista de permissões da sandbox sem a guarda `needs is sandboxed` necessária. Isso permite que o filtro chame `toArray()` ou realize um cast `(array)` sem consultar a lista de permissões de métodos da sandbox. Como o global Twig `grav` atua como um container de injeção de dependência baseado em Pimple (uma ferramenta usada para gerenciar a instanciação de objetos e dependências), um usuário capaz de criar Twig no conteúdo da página pode usar `grav|array` para acessar o array privado `$values` do container. Esse processo pode expor o serviço Config não redigido e toda a árvore de configuração, revelando dados sensíveis, como credenciais de plugins, segredos de SMTP e OAuth, senhas de Redis, URLs de proxy e a subárvore `security.*`. As informações expostas são então renderizadas para visitantes anônimos. **Recommendations** Atualizar para a versão 2.0.25.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões anteriores a 2.63.24 **Description** Um problema de exaustão de memória existe no endpoint de conversão de legendas. O sistema carrega arquivos de legenda inteiros na memória sem impor limites de tamanho. Usuários autenticados com permissões de download podem causar a negação de serviço ao enviar solicitações simultâneas para converter arquivos `.srt`, `.ass` ou `.ssa` grandes, o que esgota a memória do servidor. **Recommendations** Atualize para uma versão posterior a 2.63.23.