PT-2026-30199 · Vllm · Vllm

Ez-Lbz · Publicado 2026-04-03 · Atualizado 2026-04-06 · CVE-2026-34756

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.1.0 até 0.18.9

Descrição Uma vulnerabilidade de Negação de Serviço existe no servidor de API compatível com OpenAI do vLLM. Devido à falta de uma validação de limite superior no parâmetro n nos modelos Pydantic ChatCompletionRequest e CompletionRequest, um invasor não autenticado pode enviar uma única solicitação HTTP com um valor n astronomicamente grande. Isso bloqueia completamente o loop de eventos asyncio do Python e causa falhas imediatas de falta de memória, alocando milhões de cópias de objetos de solicitação no heap antes mesmo que a solicitação chegue à fila de agendamento. A causa raiz reside na ausência de verificações de limite superior durante a análise da solicitação e o agendamento assíncrono. A vulnerabilidade afeta qualquer indivíduo ou organização que hospede um servidor de API vLLM voltado para o público e plataformas SaaS/AI-as-a-Service que atuam como proxies reversos sem validação rigorosa da carga útil do corpo HTTP ou limitações de taxa.

Recomendações Atualize para a versão 0.19.0 ou posterior.

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2026-34756

GHSA-3MWP-WVH9-7528

Produtos afetados

Vllm

Referências · 7

• https://github.com/vllm-project/vllm · Nota
• https://github.com/vllm-project/vllm/pull/37952 · Correção
• https://github.com/vllm-project/vllm/commit/b111f8a61f100fdca08706f41f29ef3548de7380 · Correção
• https://github.com/vllm-project/vllm/security/advisories/GHSA-3mwp-wvh9-7528 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041223990404931651 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34756 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3mwp-wvh9-7528 · Aviso do Fabricante