- Yama var
- Son 7 gün
- CWE-248
CVE-2026-114051
vLLM'de min_tokens doğrulama hatası nedeniyle hizmet dışı bırakma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.31.0 öncesi sürümler, max_tokens değeri null olan /inference/v1/generate istekleri için min_tokens <= max_tokens denetimini atlamaktadır. Bunun sonucunda EngineCore girdi iş parçacığı daha sonra yakalanmayan bir VLLMValidationError hatasıyla sonlanmakta, buna rağmen /health uç noktası 200 yanıtı döndürmeye devam etmektedir. Kimlik doğrulaması yapılmadan uzak saldırganlar, aşırı büyük bir min_tokens değeri içeren tek bir istek göndererek, manuel olarak yeniden başlatılana kadar sonraki tüm metin üretme isteklerini askıda bırakabilir.
Kaynaktaki açıklama (İngilizce)
vLLM before 0.31.0 skips the min_tokens <= max_tokens check for /inference/v1/generate requests with a null max_tokens, so the EngineCore input thread later dies on an uncaught VLLMValidationError while /health still returns 200. Unauthenticated remote attackers can send one request with an oversized min_tokens to hang all subsequent generation requests until manual restart.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | < 0.31.0 | 0.31.0 |
| 0.31.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.