PT-2026-35459 · Vllm · Vllm

Zyz3366 · Publicado 2026-04-27 · Atualizado 2026-04-27 · CVE-2026-7141

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.6

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas vllm versões anteriores a 0.19.0

Descrição Uma falha no componente KV Block Handler, especificamente na função has mamba layers() do arquivo vllm/v1/kv cache interface.py, permite um recurso não inicializado por meio de manipulação. Este problema pode ser acionado remotamente, embora a complexidade do ataque seja alta e a explorabilidade seja difícil.

Recomendações Implantar a correção 1ad67864c0c20f167929e64c875f5c28e1aad9fd para versões anteriores a 0.19.0. Como medida paliativa temporária, restrinja o acesso à função has mamba layers() para minimizar o risco de exploração.

Exploit

Correção

Use of Uninitialized Resource

Enumeração de Fraquezas

CWE-908

Identificadores relacionados

CVE-2026-7141

GHSA-X368-4G9H-FVV4

Produtos afetados

Vllm

Referências · 11

• 🔥 https://github.com/vllm-project/vllm/issues/39146#issue-4215090365 · Exploit
• https://github.com/vllm-project/vllm/pull/39283 · Correção
• https://github.com/vllm-project/vllm/issues/39146 · Nota
• https://github.com/AjAnubolu/vllm/commit/1ad67864c0c20f167929e64c875f5c28e1aad9fd · Correção
• https://twitter.com/CVEnew/status/2048852132812497283 · Publicação no Twitter
• https://t.me/CVEtracker/51969 · Publicação no Telegram
• https://vuldb.com/submit/801297 · Nota
• https://vuldb.com/vuln/359740/cti · Nota
• https://osv.dev/vulnerability/GHSA-x368-4g9h-fvv4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-7141 · Nota de Segurança
• https://vuldb.com/vuln/359740 · Nota