p PatchFirst

CVE-2026-105760

CVE-2026-105760 · vLLM: GLMGA video sampling permits request-driven CPU and memory exhaustion

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

vLLM is an inference and serving engine for large language models. Prior to 0.30.0, a caller can use the request-level media_io_kwargs field to select the GLMGA video backend and supply large values for the fps and max_frames options without a strict work ceiling. GLMGA constructs and deduplicates an attacker-sized pre-decode frame-index list, allowing a compact request and tiny valid video to consume disproportionate CPU time and memory in the shared media-loading executor. This issue is fixed in version 0.30.0.

CVSS 5.3 · Media · EPSS 0,3% · Código de explotación público · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • vllm

    Versiones
    • >= 0.23.0rc2, < 0.30.0: Afectada

    Sin corrección publicada

  • vllm PyPI

    Versiones
    • 0.23.0
    • 0.24.0
    • 0.25.0
    • 0.25.1
    • 0.26.0
    • 0.27.0
    • 0.27.1
    • 0.28.0
    • 0.29.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 0.23.0rc2, < 0.30.0

    Actualiza a 0.30.0

Fuentes originales

Comprueba tu servidor →