CVE-2026-114050
CVE-2026-114050 · vLLM before 0.31.0 Remote Engine Crash via Forged Multimodal UUID
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
vLLM before 0.31.0 uses a client-supplied multimodal uuid verbatim as cache identity with no consistency check on cache hits, allowing engine crashes. Unauthenticated attackers can desynchronize the P0/P1 processor caches to trigger a fatal token-placeholder mismatch, killing the entire serving instance until restarted.
CVSS 7.1 · Высокий · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
vllm
- Версии
- ≥ 0, < 0.31.0: Затронуто (semver)
- 0.31.0: Не затронуто (semver)
Обновитесь до 0.31.0
vllm PyPI
- Версии
- 0.0.1
- 0.1.0
- 0.1.1
- 0.1.2
- 0.1.3
- 0.1.4
- 0.1.5
- 0.1.6
- 0.1.7
- 0.10.0
- 0.10.1
- 0.10.1.1
- 0.10.2
- 0.11.0
- 0.11.1
- 0.11.2
- 0.12.0
- 0.13.0
- 0.14.0
- 0.14.1
- 0.15.0
- 0.15.1
- 0.16.0
- 0.17.0
- 0.17.1
- 0.18.0
- 0.18.1
- 0.19.0
- 0.19.1
- 0.2.0
- 0.2.1
- 0.2.1.post1
- 0.2.2
- 0.2.3
- 0.2.4
- 0.2.5
- 0.2.6
- 0.2.7
- 0.20.0
- 0.20.1
- 0.20.2
- 0.21.0
- 0.22.0
- 0.22.1
- 0.23.0
- 0.24.0
- 0.25.0
- 0.25.1
- 0.26.0
- 0.27.0
- 0.27.1
- 0.28.0
- 0.29.0
- 0.3.0
- 0.3.1
- 0.3.2
- 0.3.3
- 0.30.0
- 0.4.0
- 0.4.0.post1
- 0.4.1
- 0.4.2
- 0.4.3
- 0.5.0
- 0.5.0.post1
- 0.5.1
- 0.5.2
- 0.5.3
- 0.5.3.post1
- 0.5.4
- 0.5.5
- 0.6.0
- 0.6.1
- 0.6.1.post1
- 0.6.1.post2
- 0.6.2
- 0.6.3
- 0.6.3.post1
- 0.6.4
- 0.6.4.post1
- 0.6.5
- 0.6.6
- 0.6.6.post1
- 0.7.0
- 0.7.1
- 0.7.2
- 0.7.3
- 0.8.0
- 0.8.1
- 0.8.2
- 0.8.3
- 0.8.4
- 0.8.5
- 0.8.5.post1
- 0.9.0
- 0.9.0.1
- 0.9.1
- 0.9.2
- Затронутые диапазоны версий
- ECOSYSTEM: < 0.31.0
Обновитесь до 0.31.0