PT-2026-123015

CVE-2026-116174

Publicado

2026-10-25

Atualizado

2026-10-25

Descrição por

CVSS 4.0

8.2

Alta

MétricasAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.22.0 through 0.23.x

Description A validação inadequada de entrada nos serviços Rust gRPC Generate e GenerateStream permite o encaminhamento de IDs de tokens de prompt não verificados para o EngineCore. Um invasor pode enviar solicitações contendo valores prompt.token ids fora do vocabulário, desencadeando uma falha fatal de busca de incorporação (embedding lookup). Essa falha encerra o EngineCore, deixando o servidor em estado instável.

Recommendations Atualize o vLLM para a versão 0.24.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Jperezdealgaba

Rexpository

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation