CVE-2026-116175

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.19.0 through 0.23.x

Description Um problema de bomba de descompressão existe no caminho multimodal AudioMediaIO porque a função load audio() é chamada sem o limite de duração decodificada max duration s. Atacantes autenticados podem explorar isso enviando pequenos arquivos de áudio compactados através dos parâmetros input audio ou audio url no endpoint '/v1/chat/completions'. Esses arquivos expandem-se em PCM (Pulse Code Modulation, um formato de áudio bruto) enorme, esgotando a memória do servidor.

Recommendations Atualize o vLLM para a versão 0.24.0 ou posterior. Como mitigação temporária, restrinja o uso dos parâmetros input audio e audio url no endpoint '/v1/chat/completions'.