CVE-2026-100650
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
vLLM do 0.29.0 pobiera i w pełni materializuje multimedia zdalne lub wbudowane przed wymuszeniem udokumentowanej kontroli multimediów (ograniczenie rozmiaru skompresowanego dźwięku VLLM_MAX_AUDIO_CLIP_FILESIZE_MB, domyślnie 25 MB i limity elementów na modalność --limit-mm-per-prompt). Na czterech ścieżkach wejściowych — współdzielonej warstwie pozyskiwania multimediów (HTTPConnection.get_bytes()/async_get_bytes()), ścieżce zakończenia czatu audio_url/base64, wsadowym module przetwarzania mowy i trasie POST/tokenize interfejsu Rust frontend — serwer odczytuje całą treść odpowiedzi HTTP, base64 dekoduje wbudowany ładunek lub tworzy jedno zadanie pobierania/dekodowania na część multimedialną i tylko następnie stosuje limit (lub, w przypadku niektórych ścieżek, nigdy go nie stosuje). Zdalna osoba atakująca może zatem spowodować, że serwer API lub proces wsadowy przydzieli pamięć i zużyje przepustowość wychodzącą proporcjonalnie do wybranego przez osobę atakującą rozmiaru treści lub liczby elementów multimedialnych, zanim żądanie zostanie odrzucone, co spowoduje wyczerpanie pamięci i przepustowości przed wnioskowaniem (odmowa usługi). Powierzchnie czatu i wsadu wymagają klucza API, gdy jest on skonfigurowany; trasa interfejsu/tokenize interfejsu Rust jest z założenia nieuwierzytelniona. Nie ma to wpływu na wykonanie kodu ani ujawnienie danych.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org