CVE-2026-73559

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.19.0 a 0.25.0

Descrição O endpoint /v1/completions aceita um campo prompt ilimitado dentro do CompletionRequest. As funções prompt to seq() e OnlineRenderer.preprocess completion() expandem cada elemento da entrada, enquanto a lógica de serviço cria um gerador de engine e um slot de resposta para cada prompt. Isso permite que um cliente de API autenticado esgote a CPU, memória, capacidade de agendamento assíncrono, slots de requisição da engine e o buffer de resposta com uma única requisição.

Recomendações Atualizar para a versão 0.26.0.