Към съдържанието
Търсене

CVE-2026-34755: vllm-project vllm, отказ на услуга

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

vLLM is an inference and serving engine for large language models (LLMs). From 0.7.0 to before 0.19.0, the VideoMediaIO.load_base64() method at vllm/multimodal/media/video.py splits video/jpeg data URLs by comma to extract individual JPEG frames, but does not enforce a frame count limit. The num_frames parameter (default: 32), which is enforced by the load_bytes() code path, is completely bypassed in the video/jpeg base64 path. An attacker can send a single API request containing thousands of comma-separated base64-encoded JPEG frames, causing the server to decode all frames into memory and crash with OOM. This vulnerability is fixed in 0.19.0.

Засегнати продукти

  • vllm-project vllm: >= 0.7.0, < 0.19.0
  • Red Hat Red Hat AI Inference Server 3.2: 1782951012 преди *
  • Red Hat Red Hat AI Inference Server 3.4: 1787151769 преди *
  • Red Hat Red Hat Enterprise Linux AI 3.4: 1787310717 преди *
  • Red Hat Red Hat AI Inference Server
  • Red Hat Red Hat OpenShift AI (RHOAI)

Вид слабост

История

  • 6 април 2026 Публикувано

Други уязвимости в vllm-project vllm

Първоизточници

CVE-2026-34755: vllm-project vllm, отказ на услуга | freedomonline.bg