CVE-2026-105922

Podatność w vLLM w wersjach od 0.3.0 do 0.22.0 pozwala na obejście uwierzytelniania API OpenAI AuthenticationMiddleware. Atakujący może korzystać z API bez podania skonfigurowanego klucza VLLM_API_KEY lub --api-key.

Podatność w vLLM od wersji 0.8.3 do 0.14.0 pozwala na wyciek adresu sterty poprzez wysłanie nieprawidłowego obrazu do endpointu multimodalnego. Wyciek ten redukuje skuteczność ASLR z 4 miliardów do około 8 prób, co ułatwia przeprowadzenie ataku.

Podatność w vllm-project vLLM do wersji 0.31.0 powoduje odczyt poza zakresem w funkcji conv_ssm_forward w pliku mamba_mixer2.py, w komponencie Completions Request Handler. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W vLLM przed wersją 0.30.0, wywołujący może użyć pola media_io_kwargs do wybrania backendu wideo GLMGA i podać duże wartości fps i max_frames bez ścisłego limitu pracy, co prowadzi do nadmiernego zużycia CPU i pamięci.

W vLLM przed wersją 0.30.0, middleware track_http_metrics w Rust frontendzie rejestruje surowy token metody HTTP jako etykietę Prometheus dla żądań do zarejestrowanych tras, co pozwala nieuwierzytelnionemu atakującemu na tworzenie unikalnych etykiet i zwiększanie zużycia pamięci.

W vLLM od wersji 0.24.0 do 0.30.0, klasy Qwen2VLVideoBackend i Qwen3VLVideoBackend akceptują wartości max_frames i fps z żądania bez narzucania limitów serwerowych, co pozwala nieuwierzytelnionemu wywołującemu na dekodowanie każdej klatki z kontrolowanego wideo i zużywanie nadmiernej pamięci.

W vLLM przed wersją 0.30.0, błędy w żądaniach z ograniczeniami struktury mogą uciec z walidacji i trafić do ścieżki błędu krytycznego EngineCore, co pozwala zwykłym żądaniom z ograniczeniami na przerwanie działania współdzielonego silnika.

W vLLM przed wersją 0.30.0, modele żądań zgodne z OpenAI akceptują niepustą wartość cache_salt bez egzekwowania ograniczeń znaków i długości wymaganych przez IPCCacheServerKey w LMCache-MP, co może prowadzić do nieobsłużonego ValueError i przerwania działania EngineCore.

W vLLM przed wersją 0.30.0, scoring late-interaction na /score i /rerank wyprowadza query_key z nagłówka X-Request-Id kontrolowanego przez wywołującego, co pozwala współbieżnemu żądaniu na nadpisanie zakodowanego zapytania ofiary.

W vLLM przed wersją 0.30.0, endpoint /inference/v1/generate w ścieżce disaggregated scale-out akceptuje tensory, identyfikatory cache, zakresy i procesory pól multimodalnych kontrolowane przez wywołującego bez powiązania ich z kontraktem renderera, co może prowadzić do przerwania EngineCore, zatrucia cache lub zmiany semantyki transportu.