CVE-2025-48942
CVE-2025-48942 · vLLM DOS: Remotely kill vllm over http with invalid JSON schema
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
vLLM is an inference and serving engine for large language models (LLMs). In versions 0.8.0 up to but excluding 0.9.0, hitting the /v1/completions API with a invalid json_schema as a Guided Param kills the vllm server. This vulnerability is similar GHSA-9hcf-v7m4-6m2j/CVE-2025-48943, but for regex instead of a JSON schema. Version 0.9.0 fixes the issue.
CVSS 6.5 · Mittel · EPSS 0,6% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
vllm
- Softwareversionen
- >= 0.8.0, < 0.9.0: Betroffen
Keine Korrektur veröffentlicht
vllm PyPI
- Softwareversionen
- 0.8.0
- 0.8.1
- 0.8.2
- 0.8.3
- 0.8.4
- 0.8.5
- 0.8.5.post1
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 0.8.0, < 0.9.0
Auf 0.9.0 aktualisieren
vllm PyPI
- Softwareversionen
- 0.8.0
- 0.8.1
- 0.8.2
- 0.8.3
- 0.8.4
- 0.8.5
- 0.8.5.post1
- Betroffene Versionsbereiche
- GIT: < 08bf7840780980c7568c573c70a6a8db94fd45ff
- ECOSYSTEM: ≥ 0.8.0, < 0.9.0
Auf 0.9.0 aktualisieren
Originalquellen
- https://github.com/vllm-project/vllm/security/advisories/GHSA-6qc9-v4r8-22xg
- https://github.com/vllm-project/vllm/issues/17248
- https://github.com/vllm-project/vllm/pull/17623
- https://github.com/vllm-project/vllm/commit/08bf7840780980c7568c573c70a6a8db94fd45ff
- https://nvd.nist.gov/vuln/detail/CVE-2025-48942