PT-2025-47650 · Vllm · Vllm

CVE-2025-62426 · Publicado 2025-11-20 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:N/A:C

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.5.5 até 0.11.0

Descrição vLLM é um mecanismo de inferência e serviço para grandes modelos de linguagem (LLMs). Os endpoints da API /v1/chat/completions e /tokenize aceitam um parâmetro de requisição chat template kwargs que não é validado corretamente em relação ao template de chat. Isso permite que um ator malicioso potencialmente bloqueie o processamento do servidor da API por um período prolongado, impactando todas as outras requisições. O parâmetro chat template kwargs é utilizado no código antes da validação.

Recomendações Atualize o vLLM para a versão 0.11.1 ou posterior.

Exploit

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

BDU:2025-14680

CVE-2025-62426

GHSA-69J4-GRXJ-J64P

PYSEC-2026-2012

Produtos afetados

Vllm

Referências · 24

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62426.json · Exploit
• https://github.com/vllm-project/vllm · Nota
• https://github.com/vllm-project/vllm/blob/2a6dc67eb520ddb9c4138d8b35ed6fe6226997fb/vllm/entrypoints/chat_utils.py#L1602-L1610 · Nota
• https://github.com/vllm-project/vllm/security/advisories/GHSA-69j4-grxj-j64p · Aviso do Fabricante
• https://github.com/vllm-project/vllm/commit/3ada34f9cb4d1af763fdfa3b481862a93eb6bd2b · Correção
• https://github.com/vllm-project/vllm/blob/2a6dc67eb520ddb9c4138d8b35ed6fe6226997fb/vllm/entrypoints/openai/serving_engine.py#L809-L814 · Nota
• https://github.com/vllm-project/vllm/pull/27205 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/vllm/PYSEC-2026-2012.yaml · Nota
• https://twitter.com/VulmonFeeds/status/1991742438902259993 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1p2foxr/resumen_diario_de_vulnerabilidades_20112025 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2025-62426 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1p5s47k/resumen_diario_de_vulnerabilidades_24112025 · Publicação no Reddit
• https://t.me/CVEtracker/37889 · Publicação no Telegram
• https://github.com/advisories/GHSA-69j4-grxj-j64p · Nota
• https://twitter.com/CVEnew/status/1991729599424909363 · Publicação no Twitter