CVE-2026-116176
CVE-2026-116176 · vLLM 0.9.2 before 0.24.0 SSRF via X-Request-Id in P2pNcclConnector
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
vLLM from 0.9.2 before 0.24.0 contains a server-side request forgery vulnerability that allows API callers to force outbound connections by embedding a decode address in the X-Request-Id header. Attackers can make a P2pNcclConnector prefill worker ZMQ-connect to an attacker host, leaking the NCCL unique_id and KV-cache tensors or blocking the worker.
CVSS 8.8 · Hoch · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
vllm
- Softwareversionen
- ≥ 0.9.2, < 0.24.0: Betroffen (semver)
- 0.24.0: Nicht betroffen (semver)
Auf 0.24.0 aktualisieren
vllm PyPI
- Softwareversionen
- 0.10.0
- 0.10.1
- 0.10.1.1
- 0.10.2
- 0.11.0
- 0.11.1
- 0.11.2
- 0.12.0
- 0.13.0
- 0.14.0
- 0.14.1
- 0.15.0
- 0.15.1
- 0.16.0
- 0.17.0
- 0.17.1
- 0.18.0
- 0.18.1
- 0.19.0
- 0.19.1
- 0.20.0
- 0.20.1
- 0.20.2
- 0.21.0
- 0.22.0
- 0.22.1
- 0.23.0
- 0.9.2
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 0.9.2, < 0.24.0
Auf 0.24.0 aktualisieren