CVE-2026-94626

Nome do Software Vulnerável e Versões Afetadas vLLM versões anteriores a 0.29.1

Description Endpoints de conclusão compatíveis com OpenAI não validam o parâmetro tp size dentro de kv transfer params. Em implantações desagregadas de preenchimento/decodificação (prefill/decode), um invasor pode fornecer valores arbitrários para tp size para alocar memória ilimitada, o que pode esgotar os recursos do sistema e disparar um OOM-kill (Out-Of-Memory kill, um processo onde o sistema operacional encerra um processo para liberar memória) do kernel no processo de trabalho de decodificação.

Recommendations Atualize o vLLM para a versão 0.29.1 ou posterior. Evite usar o parâmetro tp size em kv transfer params nos endpoints de conclusão compatíveis com OpenAI até que a atualização seja aplicada.