CVE-2026-116178

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.20.0 até 0.29.9

Descrição Um problema de negação de serviço permite que atacantes remotos travem o mecanismo enviando metadados multimodais inconsistentes para o endpoint desagregado '/inference/v1/generate'. Isso ocorre quando um item multimodal válido é repetido com intervalos de mm placeholders repetidos ou sobrepostos, ou quando as listas kwargs data e mm hashes não coincidem. Essas ações resultam em um intervalo de texto negativo durante a construção de posição do Qwen2.5-VL, o que encerra o mecanismo.

Recomendações Atualize o vLLM para a versão 0.30.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/inference/v1/generate' apenas a usuários confiáveis.