CVE-2025-48943
CVE-2025-48943 · vLLM allows clients to crash the openai server with invalid regex
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
vLLM is an inference and serving engine for large language models (LLMs). Version 0.8.0 up to but excluding 0.9.0 have a Denial of Service (ReDoS) that causes the vLLM server to crash if an invalid regex was provided while using structured output. This vulnerability is similar to GHSA-6qc9-v4r8-22xg/CVE-2025-48942, but for regex instead of a JSON schema. Version 0.9.0 fixes the issue.
CVSS 6.5 · Mittel · EPSS 0,5% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
vllm
- Softwareversionen
- >= 0.8.0, < 0.9.0: Betroffen
Keine Korrektur veröffentlicht
vllm PyPI
- Softwareversionen
- 0.8.0
- 0.8.1
- 0.8.2
- 0.8.3
- 0.8.4
- 0.8.5
- 0.8.5.post1
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 0.8.0, < 0.9.0
Auf 0.9.0 aktualisieren
vllm PyPI
- Softwareversionen
- 0.8.0
- 0.8.1
- 0.8.2
- 0.8.3
- 0.8.4
- 0.8.5
- 0.8.5.post1
- Betroffene Versionsbereiche
- GIT: < 08bf7840780980c7568c573c70a6a8db94fd45ff
- ECOSYSTEM: ≥ 0.8.0, < 0.9.0
Auf 0.9.0 aktualisieren
Originalquellen
- https://github.com/vllm-project/vllm/security/advisories/GHSA-9hcf-v7m4-6m2j
- https://github.com/vllm-project/vllm/issues/17313
- https://github.com/vllm-project/vllm/pull/17623
- https://github.com/vllm-project/vllm/commit/08bf7840780980c7568c573c70a6a8db94fd45ff
- https://nvd.nist.gov/vuln/detail/CVE-2025-48943