- Yama var
- Son 7 gün
- CWE-20
CVE-2026-116174
vLLM Rust gRPC Generate hizmetinde girdi doğrulama hatası hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
vLLM 0.22.0 sürümünden 0.24.0 sürümünden önceki sürümlere kadar olan sürümlerde, doğrulanmadan EngineCore'a iletilen prompt token ID değerleri nedeniyle Rust gRPC Generate ve GenerateStream hizmetinde uygun olmayan girdi doğrulaması (improper input validation) güvenlik açığı bulunmaktadır. Saldırganlar, sözlük dışı (out-of-vocabulary) prompt.token_ids değerleri içeren istekler göndererek, EngineCore'un sonlanmasına ve sunucunun sağlıksız duruma düşmesine neden olan ölümcül bir embedding arama hatası tetikleyebilir.
Kaynaktaki açıklama (İngilizce)
vLLM from 0.22.0 before 0.24.0 contains an improper input validation vulnerability in the Rust gRPC Generate and GenerateStream service that forwards unchecked prompt token IDs to EngineCore. Attackers can submit requests with out-of-vocabulary prompt.token_ids values to trigger a fatal embedding lookup failure that terminates EngineCore and leaves the server unhealthy.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vllm-project vllm | ≥ 0.22.0, < 0.24.0 | 0.24.0 |
| 0.24.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.