CVE-2026-100647

Nome do Software Vulnerável e Versões Afetadas vLLM versões anteriores a 0.29.0

Description Um problema de negação de serviço existe nos endpoints de API compatíveis com OpenAI e Anthropic. O parâmetro cache salt carece de validação de comprimento máximo e é processado no thread único do agendador EngineCore. Atacantes não autenticados podem enviar requisições HTTP com valores de salt de centenas de megabytes, desencadeando serialização pickle e hashing SHA-256 onerosos. Esse processo trava o thread do agendador, negando o serviço a todas as requisições simultâneas. Incidentes reais de exploração deste problema foram relatados.

Recommendations Atualize para a versão 0.29.0 ou posterior. Como mitigação temporária, restrinja ou evite o uso do parâmetro cache salt em requisições de API.