CVE-2026-114050
Publiée le 2026-10-21 · Dernière modification le 2026-10-22
Les versions de vLLM antérieures à 0.31.0 sont affectées ; il s'agit d'un moteur de service à haut débit pour les grands modèles de langage. La faille survient parce que le logiciel fait confiance à un UUID multimodal fourni par le client lors de la gestion de son cache, sans en vérifier la cohérence. Cela permet à un utilisateur d'envoyer une identité malformée qui perturbe le suivi interne du cache du système.
Un attaquant peut utiliser cela pour désynchroniser les caches du processeur, déclenchant une erreur fatale qui fait planter l'intégralité de l'instance de service. Cela entraîne une perte complète de disponibilité jusqu'au redémarrage manuel du serveur. L'attaque est relativement facile à exécuter via le réseau et nécessite une authentification de bas niveau, mais elle ne requiert aucune interaction de la part d'autres utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
vLLM before 0.31.0 uses a client-supplied multimodal uuid verbatim as cache identity with no consistency check on cache hits, allowing engine crashes. Unauthenticated attackers can desynchronize the P0/P1 processor caches to trigger a fatal token-placeholder mismatch, killing the entire serving instance until restarted.