vllm
- Loại hình phần mềm
- Nền tảng AI và học máy
- Sản phẩm & Dịch vụSản phẩm & Dịch vụ
- Giải phápGiải pháp
- Bảng giáBảng giá
- Công tyCông ty
- Tài liệuTài liệu
vi
vi
Tính đến 08/11/2026, vllm ghi nhận 74 lỗ hổng bảo mật trong 90 ngày gần nhất, trong đó 33 lỗ hổng ở mức độ nghiêm trọng Cao trở lên. Trong số này chưa có lỗ hổng nào đang bị khai thác tích cực (KEV) theo danh mục của CISA. CyStack khuyến nghị các tổ chức và người dùng cá nhân thực hiện vá lỗi càng sớm càng tốt.
CyStack chưa có đủ dữ liệu nguồn chính thức để xác định phiên bản mới nhất của vllm và đối chiếu lỗ hổng riêng cho phiên bản đó.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
CVE-2026-115918vLLM: Responses API bypasses trust_request_chat_template for chat_template_kwargsCVE-2026-115917vLLM: Permissive default CORS origins allow cross-origin requests to the vLLM HTTP serverCVE-2026-115916vLLM: Out-of-vocabulary prompt token id passes input validation and triggers a CUDA device-side assert (engine crash / DoS)CVE-2026-115915vLLM: Untrusted EPS inputs can trigger denial of service or Ghostscript RCECVE-2026-115914vLLM DeepSeek-OCR image processing vulnerable to denial of service| Lỗ hổng | Tình trạng khai thác | Bản vá | Ngày phát hành | Mức độ nghiêm trọng |
|---|---|---|---|---|
CVE-2026-115918vLLM: Responses API bypasses trust_request_chat_template for chat_template_kwargs | Tình trạng khai thácChưa bị khai thác | Bản váCó |
| Mức độ nghiêm trọngTrung bình |
CVE-2026-115917vLLM: Permissive default CORS origins allow cross-origin requests to the vLLM HTTP server | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngThấp |
|---|
CVE-2026-115916vLLM: Out-of-vocabulary prompt token id passes input validation and triggers a CUDA device-side assert (engine crash / DoS) | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-115915vLLM: Untrusted EPS inputs can trigger denial of service or Ghostscript RCE | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-115914vLLM DeepSeek-OCR image processing vulnerable to denial of service | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-115913vLLM: Phi-4 multimodal audio encoder materializes and retains full attention matrices: a single max-length audio OOM-crashes the vLLM engine | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-115912vLLM: Public multimodal SHM handle forgery reaches worker-side `pickle.loads()` with insecure serialization disabled | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-115911vLLM: DoS via unbounded chat_template Jinja2 rendering exhausts the renderer thread pool | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-116181vLLM 0.20.1 before 0.29.0 DoS and GPU Out-of-Bounds Write via stop_token_ids | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116180vLLM from 0.8.5 before 0.31.0 Cross-Tenant DoS via Uninitialized LogprobsTensors | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116179vLLM 0.18.0 before 0.31.0 Memory Exhaustion via media_io_kwargs num_frames Override | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116178vLLM 0.20.0 before 0.30.0 DoS via /inference/v1/generate mm_placeholders | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116177vLLM 0.10.2 before 0.25.0 DoS via Nemotron-VL Processor Decompression-Bomb Guard Bypass | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116176vLLM 0.9.2 before 0.24.0 SSRF via X-Request-Id in P2pNcclConnector | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116175vLLM 0.19.0 before 0.24.0 Audio Decompression Bomb DoS via Chat Completions | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116174vLLM 0.22.0 before 0.24.0 Denial of Service via Rust gRPC Generate | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116173vLLM 0.22.0 before 0.24.0 Denial of Service via gRPC output_candidates.token_ids | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-116172vLLM 0.22.0 before 0.24.0 DoS via Rust gRPC CandidateTokens.top_n | Tình trạng khai thácChưa xác nhận | Bản váCó | Ngày phát hành25/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-114055vLLM 0.7.3 before 0.31.0 DoS via Unvalidated mm_processor_kwargs | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-114054vLLM before 0.31.0 Cross-Request Cache Aliasing via EXIF ImageID and Prefix-Cache Keys | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-114053vLLM 0.7.3 before 0.31.0 RCE via mm_processor_kwargs.code_revision | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
CVE-2026-114052vLLM 0.25.0 before 0.31.0 MOSS-Audio Memory Exhaustion via /tokenize mm_processor_kwargs | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-114051vLLM before 0.31.0 Denial of Service via min_tokens in /inference/v1/generate | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-114050vLLM before 0.31.0 Remote Engine Crash via Forged Multimodal UUID | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-114049vLLM before 0.31.0 Stale allowed_token_ids Mask via InputBatch.condense | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-109311vLLM before 0.29.0 Heap Overflow DoS via IAMF Audio Transcription Upload | Tình trạng khai thácĐang bị khai thác | Bản váCó | Ngày phát hành12/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-105922vllm-project vLLM Penalty Handler denial of service can crash the inference engine | Tình trạng khai thácĐang bị khai thác | Bản váKhông | Ngày phát hành06/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105775vllm-project vLLM Completions Request mamba_mixer2.py conv_ssm_forward out-of-bounds | Tình trạng khai thácĐang bị khai thác | Bản váKhông | Ngày phát hành06/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105760vLLM: GLMGA video sampling permits request-driven CPU and memory exhaustion | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105759vLLM: Unbounded Prometheus label cardinality from attacker-controlled HTTP method tokens in the vLLM Rust frontend metrics middleware (unauthenticated denial of service) | Tình trạng khai thácĐang bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105758vLLM: Qwen2-VL / Qwen3-VL video samplers bound on request-controlled max_frames, which the num_frames ceiling does not reach | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105757vLLM: Structured-output request errors escape the request boundary and terminate the shared EngineCore — engine-fatal denial of service (3 sites) | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105756vLLM: Loose `cache_salt` validation lets a single request kill EngineCore on LMCache-MP deployments — uncaught downstream `ValueError` denial of service | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105755vLLM: Flash late-interaction scoring caches query embeddings under a caller-controlled request id — cross-request integrity break and induced errors on `/score` and `/rerank` | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105754vLLM: Scale-out disaggregated multimodal transport trusts caller-supplied features | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105753vLLM: Mirrored multimodal IPC caches desync after a rejected request — a later request reusing the same media hash trips a receiver assertion in the engine core | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-105752vLLM: Harmony tool continuations drop `cache_salt` — restoring a cross-tenant prefix-cache membership oracle | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành05/10/2026 | Mức độ nghiêm trọngThấp |
|---|
CVE-2026-103241vllm-project vLLM Gemma4UnifiedParser gemma4.rs denial of service | Tình trạng khai thácĐang bị khai thác | Bản váCó | Ngày phát hành30/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-100654vLLM before 0.29.0 Denial of Service via out-of-range stop_token_ids | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-100653vLLM 0.22.1 before 0.28.0 Incomplete Artifact Pin Propagation | Tình trạng khai thácĐang bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-100652vLLM 0.22.0 through 0.23.0 Denial of Service via stop_token_ids | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-100651vllm before 0.29.0 Denial of Service via Decoder Prompt Length Bypass | Tình trạng khai thácĐang bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-100650vLLM before 0.29.0 Resource Exhaustion via Unbounded Media Materialization | Tình trạng khai thácĐang bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-100649vLLM before 0.29.0 Resource Limit Bypass via Sampler Subclass | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-100648vllm before 0.29.0 Uncontrolled Resource Consumption via Audio Decoding | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-100647vLLM before 0.29.0 CPU Exhaustion via unbounded cache_salt | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành26/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-94627vLLM through 0.29.0 GPU KV Cache Leak via Mooncake Transfer ID Collision | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-94626vLLM through 0.29.0 Memory Exhaustion via Unvalidated NIXL tp_size | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-94625vLLM through 0.29.0 Resource Exhaustion via Ownerless Mooncake Transfer Placeholders | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-94624vLLM through 0.29.0 Denial of Service via Unbounded P2P KV Offloading Sessions | Tình trạng khai thácChưa bị khai thác | Bản váCó | Ngày phát hành21/09/2026 | Mức độ nghiêm trọngCao |
|---|
121 Kết quả | Trang 1 trên 3