Katalog podatności CVE

W vLLM przed wersją 0.30.0, wywołujący może użyć pola media_io_kwargs do wybrania backendu wideo GLMGA i podać duże wartości fps i max_frames bez ścisłego limitu pracy, co prowadzi do nadmiernego zużycia CPU i pamięci.

W vLLM przed wersją 0.30.0, middleware track_http_metrics w Rust frontendzie rejestruje surowy token metody HTTP jako etykietę Prometheus dla żądań do zarejestrowanych tras, co pozwala nieuwierzytelnionemu atakującemu na tworzenie unikalnych etykiet i zwiększanie zużycia pamięci.

W vLLM od wersji 0.24.0 do 0.30.0, klasy Qwen2VLVideoBackend i Qwen3VLVideoBackend akceptują wartości max_frames i fps z żądania bez narzucania limitów serwerowych, co pozwala nieuwierzytelnionemu wywołującemu na dekodowanie każdej klatki z kontrolowanego wideo i zużywanie nadmiernej pamięci.

W vLLM przed wersją 0.30.0, błędy w żądaniach z ograniczeniami struktury mogą uciec z walidacji i trafić do ścieżki błędu krytycznego EngineCore, co pozwala zwykłym żądaniom z ograniczeniami na przerwanie działania współdzielonego silnika.

W vLLM przed wersją 0.30.0, modele żądań zgodne z OpenAI akceptują niepustą wartość cache_salt bez egzekwowania ograniczeń znaków i długości wymaganych przez IPCCacheServerKey w LMCache-MP, co może prowadzić do nieobsłużonego ValueError i przerwania działania EngineCore.

W vLLM przed wersją 0.30.0, scoring late-interaction na /score i /rerank wyprowadza query_key z nagłówka X-Request-Id kontrolowanego przez wywołującego, co pozwala współbieżnemu żądaniu na nadpisanie zakodowanego zapytania ofiary.

W vLLM przed wersją 0.30.0, endpoint /inference/v1/generate w ścieżce disaggregated scale-out akceptuje tensory, identyfikatory cache, zakresy i procesory pól multimodalnych kontrolowane przez wywołującego bez powiązania ich z kontraktem renderera, co może prowadzić do przerwania EngineCore, zatrucia cache lub zmiany semantyki transportu.

W vLLM przed wersją 0.28.0, domyślny lustrzany multimodalny LRU cache może zatwierdzić hash mediów w cache wysyłającym frontendu podczas renderowania multimodalnego, zanim żądanie zostanie zaakceptowane przez silnik, a jeśli żądanie jest odrzucone, cache odbierający nie otrzyma payloadu, co prowadzi do błędu asercji przy późniejszym użyciu tego samego hasha.

Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie buildy uruchomione na tym demonie.

Gdy włączone jest proxy sieciowe z wstrzykiwaniem CA, proces budowania może zmodyfikować własny pakiet CA przed fazą czyszczenia. Może to spowodować zablokowanie czyszczenia, działanie poza głównym systemem plików budowania lub niepowodzenie bez oznaczenia budowania jako nieudane.

W Docling od wersji 2.82.0 do 2.118.1 opcja HTMLBackendOptions(render_page=True) zezwala na adresy URL plików, ponieważ HTMLDocumentBackend nie egzekwuje ustawienia enable_local_fetch ani nie ogranicza lokalnych żądań do katalogu dokumentu źródłowego. Przygotowany HTML może osadzić czytelny lokalny plik tekstowy w obrazie renderowanej strony, gdy zainstalowany jest Playwright.

W Docling od wersji 2.0.0 do 2.131.0 backendy HTML, JATS, OpenDocument spreadsheet i BoxNote przyjmują wartości atrybutów rowspan i colspan bez górnego limitu i wykonują pętle lub alokują siatkę tabeli proporcjonalnie do zadeklarowanego zakresu. Bardzo mały dokument może spowodować długotrwałe użycie CPU lub alokację wielu gigabajtów pamięci.

W Docling od wersji 2.16.0 do 2.131.0 backend InputFormat.JSON_DOCLING nie odrzuca odwołań do obrazów zawierających lokalne ścieżki lub URI plików. Gdy dokument jest wzbogacany lub eksportowany z ImageRefMode.EMBEDDED, metody DoclingDocument mogą otwierać te odwołania i umieszczać czytelne bajty obrazów w wynikach Markdown lub HTML.

W Docling od wersji 2.45.0 do 2.131.0 wykrywanie formatu METS-GBS oraz backend wywołują tarfile.TarFile.getmembers() przed egzekwowaniem limitu max_member_count, co powoduje alokację pełnej listy elementów archiwum przed zastosowaniem limitu. Małe archiwum tar skompresowane gzip z bardzo dużą liczbą pustych elementów może zużyć pamięć proporcjonalną do zadeklarowanej liczby elementów.

W Docling od wersji 2.27.0 do 2.131.0 fabryki wtyczek wywołują load_setuptools_entrypoints() przed zastosowaniem ustawienia allow_external_plugins, więc każdy moduł zarejestrowany w grupie punktów wejściowych Docling jest importowany, nawet gdy zewnętrzne wtyczki są wyłączone. Zainstalowany złośliwy pakiet może wykonać kod w czasie importu przy starcie Docling.

W Docling od wersji 2.91.0 do 2.132.0 funkcja validate_url_safety waliduje nazwę hosta pojedynczym zapytaniem IPv4, a następnie pozwala klientowi HTTP ponownie rozwiązać i przetworzyć oryginalny URL, co umożliwia DNS rebinding, mieszane rekordy publiczne i wewnętrzne oraz niezgodność parsera autorytetu z ukośnikiem odwrotnym w celu dotarcia do usług wewnętrznych. Opcja HTMLBackendOptions(render_page=True) również zezwala na żądania HTTP i HTTPS bez walidacji rozwiązanego celu.

W MongoDB Controllers for Kubernetes niewystarczająca walidacja konfiguracji kopii zapasowej Ops Manager może pozwolić użytkownikowi, który może modyfikować zasób niestandardowy OpsManager, na wywołanie niezamierzonych zmian administracyjnych w Ops Manager. Dotyczy to wdrożeń korzystających z uzgadniania kopii zapasowych Enterprise Ops Manager.

Docker Buildx Bake nie żąda oczekiwanej zgody fs.read dla niektórych danych wejściowych systemu plików. Niezaufana definicja Bake może ujawnić czytelny plik poprzez sekret bez ścieżki, którego identyfikator jest interpretowany jako ścieżka po stronie klienta, lub zużyć lokalny układ obrazu OCI poza projektem, gdy walidacja uprawnień sprawdza inną reprezentację ścieżki.

W urządzeniach AMD Versal Adaptive SoC, gdy tryb rozruchu USB jest włączony przez modyfikacje płyty, niewystarczające sprawdzanie granic może pozwolić na przepełnienie bufora przez spreparowane obrazy i nadpisanie aktywnego wskaźnika funkcji, co może prowadzić do wykonania dowolnego kodu podczas procesu uruchamiania. Może to mieć wpływ na poufność, integralność i dostępność.

Specjalnie spreparowany krok budowania źródła Git może obejść niektóre zasady walidacji. Złośliwa definicja budowania może sprawić, że repozytorium będzie wyglądać, jakby pochodziło z innego zdalnego adresu URL niż w rzeczywistości podczas klonowania Git. Jeśli polityka wykonuje bardziej rygorystyczną walidację, na przykład opartą na skrócie commit, danych commit lub podpisach, to wszystkie te walidacje nadal działają poprawnie.