CVE-2026-116176
CVE-2026-116176 · vLLM 0.9.2 before 0.24.0 SSRF via X-Request-Id in P2pNcclConnector
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
vLLM from 0.9.2 before 0.24.0 contains a server-side request forgery vulnerability that allows API callers to force outbound connections by embedding a decode address in the X-Request-Id header. Attackers can make a P2pNcclConnector prefill worker ZMQ-connect to an attacker host, leaking the NCCL unique_id and KV-cache tensors or blocking the worker.
CVSS 8.8 · Высокий · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
vllm
- Версии
- ≥ 0.9.2, < 0.24.0: Затронуто (semver)
- 0.24.0: Не затронуто (semver)
Обновитесь до 0.24.0
vllm PyPI
- Версии
- 0.10.0
- 0.10.1
- 0.10.1.1
- 0.10.2
- 0.11.0
- 0.11.1
- 0.11.2
- 0.12.0
- 0.13.0
- 0.14.0
- 0.14.1
- 0.15.0
- 0.15.1
- 0.16.0
- 0.17.0
- 0.17.1
- 0.18.0
- 0.18.1
- 0.19.0
- 0.19.1
- 0.20.0
- 0.20.1
- 0.20.2
- 0.21.0
- 0.22.0
- 0.22.1
- 0.23.0
- 0.9.2
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 0.9.2, < 0.24.0
Обновитесь до 0.24.0