- Son 7 gün
- CWE-400
- CWE-770
- CWE-834
CVE-2026-115911
vLLM'de chat_template Jinja2 işleme sınırsızlığı, renderer iş parçacığı havuzunu tüketerek hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
vLLM, büyük dil modelleri için bir çıkarım ve sunum motorudur. 0.19.0 ile 0.32.0 sürümleri arasında, sunucu tarafında --chat-template yapılandırılmadığında kimliği doğrulanmış kullanıcılar istek içinde bir chat template gönderebilir ya da kötü amaçlı bir model deposu, tokenizer.apply_chat_template tarafından derlenip işlenen bir şablon sağlayabilir. Bu işlem, süre sınırı, çıktı boyutu sınırı veya yineleme sınırı olmadan çalışır. İşleme, varsayılan olarak tek işçili bir ThreadPoolExecutor içinde gerçekleşir; bu nedenle sonlanmayan bir işleme, istek sona erdikten sonra da /v1/responses ve chat template kullanan diğer bileşenleri engelleyebilir. Çıktısı sürekli genişleyen bir işleme ise sunucunun belleğini tüketebilir. Harmony modelleri bu Jinja yolunu kullanmadığı için etkilenmez. Bu sorun vLLM 0.32.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
vLLM is an inference and serving engine for large language models. From 0.19.0 until 0.32.0, authenticated callers can supply a request chat template when no server-side --chat-template is configured, or a malicious model repository can provide a template that is compiled and rendered by tokenizer.apply_chat_template() without a wall-clock timeout, output-size limit, or iteration bound. Rendering runs in a ThreadPoolExecutor with one worker by default, so a nonterminating render can block /v1/responses and other chat-template users after the request ends, while an output-expanding render can exhaust server memory. Harmony models are not affected because they do not use this Jinja path. This issue is fixed in version 0.32.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.