CVE-2026-73560

Nome do Software Vulnerável e Versões Afetadas vLLM versões anteriores a 0.26.0

Description O MiMoV2OmniMultiModalProcessor em vllm/transformers utils/processors/mimo v2 omni.py manipula incorretamente strings de imagem e áudio. Ao passar strings controladas por um invasor através de fetch image, requests.get e Image.open em vez de usar o MediaConnector, o sistema ignora as proteções allowed media domains e allowed local media path. Isso permite requisições do lado do servidor e a leitura de arquivos arbitrários acessíveis ao processo vLLM.

Recommendations Atualizar para a versão 0.26.0.