- Yama var
- Son 7 gün
- CWE-20
CVE-2026-116172
vLLM Rust gRPC dönüştürücüsünde CandidateTokens.top_n ile hizmet dışı bırakma açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
0.22.0 sürümünden 0.24.0 öncesine kadar olan vLLM, Rust gRPC dönüştürücüsünde uygun olmayan girdi doğrulaması (improper input validation) açığı içerir. Bu açık, uzaktan saldırganların CandidateTokens.top_n üzerinden max_logprobs sınırlarını aşmasına olanak tanır. Saldırganlar, aşırı büyük veya tamsayı taşmasına neden olan top_n değerleri içeren Generate veya GenerateStream istekleri göndererek torch.topk hatalarını tetikleyebilir ve bu da EngineCore'un sonlanmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.22.0 before 0.24.0 contains an improper input validation vulnerability in the Rust gRPC converter that allows remote attackers to bypass max_logprobs limits via CandidateTokens.top_n. Attackers can send Generate or GenerateStream requests with oversized or integer-wrapping top_n values to trigger torch.topk failures that terminate EngineCore.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.22.0, < 0.24.0 | 0.24.0 |
| 0.24.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.