Wumingzhilian

**Nome do Software Vulnerável e Versões Afetadas** vLLM versões 0.6.1 até 0.19.x **Descrição** Um problema de Injeção de Token existe no processamento multimodal do vLLM. Prompts apenas de texto, não autenticados, que contêm tokens especiais são interpretados como comandos de controle. Quando sequências de marcadores de imagem e vídeo são fornecidas sem os dados correspondentes, o sistema tenta indexar grades vazias durante a computação da posição de entrada. Isso dispara um `IndexError` não tratado nas funções `get input positions tensor()` e ` vl get input positions tensor()`, o que pode encerrar o worker ou degradar a disponibilidade do serviço, resultando em uma Negação de Serviço remota. O problema afeta especificamente caminhos multimodais que dependem das variáveis `image grid thw` e `video grid thw`. **Recomendações** Atualize para a versão 0.20.0. Como medida paliativa temporária, restrinja o uso da função ` vl get input positions tensor()` ou sanitize as entradas do usuário para evitar a injeção de tokens de marcadores multimodais em prompts apenas de texto.