CVE-2026-116177
CVE-2026-116177 · vLLM 0.10.2 before 0.25.0 DoS via Nemotron-VL Processor Decompression-Bomb Guard Bypass
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
vLLM from 0.10.2 before 0.25.0 contains an uncontrolled resource consumption vulnerability that allows unauthenticated attackers to exhaust memory because the Nemotron-VL processors globally set Image.MAX_IMAGE_PIXELS to None. Attackers can submit a pathological decompression-bomb image to /v1/chat/completions to OOM-kill the worker and deny service to co-tenants.
CVSS 8.7 · Hoch · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
vllm
- Softwareversionen
- ≥ 0.10.2, < 0.25.0: Betroffen (semver)
- 0.25.0: Nicht betroffen (semver)
Auf 0.25.0 aktualisieren
vllm PyPI
- Softwareversionen
- 0.10.2
- 0.11.0
- 0.11.1
- 0.11.2
- 0.12.0
- 0.13.0
- 0.14.0
- 0.14.1
- 0.15.0
- 0.15.1
- 0.16.0
- 0.17.0
- 0.17.1
- 0.18.0
- 0.18.1
- 0.19.0
- 0.19.1
- 0.20.0
- 0.20.1
- 0.20.2
- 0.21.0
- 0.22.0
- 0.22.1
- 0.23.0
- 0.24.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 0.10.2, < 0.25.0
Auf 0.25.0 aktualisieren