PT-2026-51172 · Vllm · Vllm

Russellb · Publicado 2026-06-20 · Atualizado 2026-06-20 · CVE-2026-56340

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.10.2 até 0.12.x

Descrição O processamento de embeddings multimodais carece de validação de tensores esparsos. Como o PyTorch desativa as verificações de invariantes de tensores esparsos por padrão, um invasor pode enviar solicitações de embedding manipuladas com índices de tensor malformados, como valores negativos ou fora dos limites, quando o recurso prompt-embeds está habilitado. Isso pode causar travamentos, exaustão de recursos resultando em negação de serviço ou potencial corrupção de memória do tipo out-of-bounds/write-what-where.

Recomendações Atualize para a versão 0.13.0 ou posterior. Como medida paliativa temporária, desative o recurso prompt-embeds para minimizar o risco de exploração.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2026-56340

Produtos afetados

Vllm

Referências · 5

• https://github.com/vllm-project/vllm/security/advisories/GHSA-mcmc-2m55-j8jj · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2068466533391642636 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2068475199670898831 · Publicação no Twitter
• https://vulncheck.com/advisories/vllm-denial-of-service-via-unvalidated-multimodal-embeddings · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-56340 · Nota de Segurança