p PatchFirst

CVE-2026-116176

CVE-2026-116176 · vLLM 0.9.2 before 0.24.0 SSRF via X-Request-Id in P2pNcclConnector

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

vLLM from 0.9.2 before 0.24.0 contains a server-side request forgery vulnerability that allows API callers to force outbound connections by embedding a decode address in the X-Request-Id header. Attackers can make a P2pNcclConnector prefill worker ZMQ-connect to an attacker host, leaking the NCCL unique_id and KV-cache tensors or blocking the worker.

CVSS 8.8 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • vllm

    Versiones
    • ≥ 0.9.2, < 0.24.0: Afectada (semver)
    • 0.24.0: No afectada (semver)

    Actualiza a 0.24.0

  • vllm PyPI

    Versiones
    • 0.10.0
    • 0.10.1
    • 0.10.1.1
    • 0.10.2
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.12.0
    • 0.13.0
    • 0.14.0
    • 0.14.1
    • 0.15.0
    • 0.15.1
    • 0.16.0
    • 0.17.0
    • 0.17.1
    • 0.18.0
    • 0.18.1
    • 0.19.0
    • 0.19.1
    • 0.20.0
    • 0.20.1
    • 0.20.2
    • 0.21.0
    • 0.22.0
    • 0.22.1
    • 0.23.0
    • 0.9.2
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 0.9.2, < 0.24.0

    Actualiza a 0.24.0

Fuentes originales

Comprueba tu servidor →