PT-2026-51171 · Vllm · Vllm

Kexinoh + 2 · Publicado 2026-06-20 · Atualizado 2026-06-20 · CVE-2025-71379

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.6.3 até 0.8.x

Description Existem múltiplos problemas de negação de serviço por expressão regular (ReDoS) onde vários padrões de regex estão suscetíveis ao backtracking catastrófico—uma condição em que uma regex complexa leva um tempo exponencial para processar certas entradas. Isso pode ser desencadeado por um invasor que envie entradas manipuladas com estruturas aninhadas ou repetidas, resultando em consumo severo de CPU e degradação de desempenho. Os componentes afetados incluem o endpoint de chat de serviço compatível com OpenAI, o parser de ferramentas phi4mini e o arquivo vllm/lora/utils.py.

Recommendations Atualize para a versão 0.9.0 ou posterior.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2025-71379

Produtos afetados

Vllm

Referências · 4

• https://github.com/vllm-project/vllm/security/advisories/GHSA-j828-28rj-hfhp · Aviso do Fabricante
• https://vulncheck.com/advisories/vllm-regular-expression-denial-of-service-in-multiple-components · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-71379 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2068472639685824835 · Publicação no Twitter