CVE-2026-73557

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.20.2rc0 até 0.25.x

Descrição Uma condição de corrida (race condition) existe na função safe load prompt embeds em vllm/renderers/embed utils.py quando enable prompt embeds está habilitado. O problema ocorre porque torch.sparse.check sparse tensor invariants utiliza um estado global do processo para salvar, habilitar e restaurar que pode sofrer interferência de partes simultâneas de prompt embeds. Essas partes são enviadas para o endpoint 'POST /v1/chat/completions' através de AsyncMultiModalItemTracker.resolve items, asyncio.gather e o executor padrão. Isso permite que um tensor esparso inválido atinja a operação tensor.to dense.

Recomendações Atualizar para a versão 0.26.0.