- Yama var
- Son 7 gün
- CWE-942
CVE-2026-115917
vLLM'de varsayılan CORS kökenleri çok geniş, siteler arası istekler sunucuya ulaşabiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
vLLM, büyük dil modelleri için bir çıkarım ve sunum motorudur. 0.32.0 sürümünden önce, OpenAI ile uyumlu sunucu, Starlette CORSMiddleware bileşenini varsayılan olarak allowed_origins değerini joker karakter (wildcard) olacak şekilde yapılandırmaktadır. Kötü niyetli bir web sayfası, kurbanın tarayıcısını kullanarak yerel makinede (localhost), dahili ağda veya VPN üzerinde bulunan, kimlik doğrulaması gerektirmeyen bir vLLM sunucusuna erişebilir; GET /v1/models ve POST /v1/chat/completions gibi uç noktaları çağırabilir, GPU kaynaklarını tüketebilir ve yanıtları okuyabilir. Kimlik bilgileri varsayılan olarak devre dışı olduğundan çerez tabanlı siteler arası istek sahteciliği (CSRF) bu durum için geçerli değildir. Taşıyıcı (bearer) kimlik doğrulaması gerektiren dağıtımlar ise yalnızca çağıranın kullanılabilir bir belirteci (token) zaten sahip olması durumunda risk altındadır. Bu sorun 0.32.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
vLLM is an inference and serving engine for large language models. Prior to 0.32.0, the OpenAI-compatible server configures Starlette CORSMiddleware with allowed_origins set to a wildcard by default. A malicious web page can use a victim's browser to reach an unauthenticated vLLM server on localhost, an internal network, or a VPN, call endpoints including GET /v1/models and POST /v1/chat/completions, consume GPU resources, and read responses. Cookie-based cross-site request forgery does not apply because credentials are disabled by default, and deployments requiring bearer authentication are exposed only when the caller already has a usable token. This issue is fixed in version 0.32.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | < 0.32.0 | 0.32.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.