CVE-2026-116177
CVE-2026-116177 · vLLM 0.10.2 before 0.25.0 DoS via Nemotron-VL Processor Decompression-Bomb Guard Bypass
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
vLLM from 0.10.2 before 0.25.0 contains an uncontrolled resource consumption vulnerability that allows unauthenticated attackers to exhaust memory because the Nemotron-VL processors globally set Image.MAX_IMAGE_PIXELS to None. Attackers can submit a pathological decompression-bomb image to /v1/chat/completions to OOM-kill the worker and deny service to co-tenants.
CVSS 8.7 · Élevée · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: python
Produits et versions concernés
vllm
- Versions du logiciel
- ≥ 0.10.2, < 0.25.0: Concernée (semver)
- 0.25.0: Non concernée (semver)
Mettez à jour vers 0.25.0
vllm PyPI
- Versions du logiciel
- 0.10.2
- 0.11.0
- 0.11.1
- 0.11.2
- 0.12.0
- 0.13.0
- 0.14.0
- 0.14.1
- 0.15.0
- 0.15.1
- 0.16.0
- 0.17.0
- 0.17.1
- 0.18.0
- 0.18.1
- 0.19.0
- 0.19.1
- 0.20.0
- 0.20.1
- 0.20.2
- 0.21.0
- 0.22.0
- 0.22.1
- 0.23.0
- 0.24.0
- Plages de versions concernées
- ECOSYSTEM: ≥ 0.10.2, < 0.25.0
Mettez à jour vers 0.25.0