PT-2026-123014

CVE-2026-116173

Publicado

2026-10-25

Atualizado

2026-10-25

Descrição por

CVSS 4.0

8.2

Alta

MétricasAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.22.0 até 0.23.x

Descrição Um problema de negação de serviço existe no frontend gRPC em Rust que permite que atacantes remotos terminem o EngineCore. Ao enviar solicitações Generate ou GenerateStream com output logprobs habilitado e fornecer mais de 128 output candidates.token ids, um atacante pode ignorar os limites e disparar uma exceção fatal do sampler, resultando no travamento do mecanismo.

Recomendações Atualize o vLLM para a versão 0.24.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Jperezdealgaba

Rexpository

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation