CVE-2026-115915
Publiée le 2026-10-26 · Dernière modification le 2026-10-28
Les versions de vLLM antérieures à 0,32.0, utilisées pour le déploiement de grands modèles de langage, ne restreignent pas correctement la manière dont les images sont décodées. Lorsque le moteur traite une image via certains chemins de requête, il transmet les octets bruts directement à la bibliothèque Pillow sans vérifier le format du fichier. Cela permet à un utilisateur d'envoyer une charge utile Encapsulated PostScript (EPS) spécialement conçue au lieu d'une image standard.
Un attaquant distant non authentifié peut exploiter cette faille pour exécuter des commandes arbitraires sur l'hôte ou faire planter les processus de chargement des médias, selon les bibliothèques de support installées. Cela nécessite un accès réseau au service vLLM, bien que la complexité de l'attaque soit élevée. En cas de succès, l'attaquant prend le contrôle total de la confidentialité, de l'intégrité et de la disponibilité du processus.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
vLLM is an inference and serving engine for large language models. Prior to 0.32.0, ImageMediaIO passes attacker-controlled image bytes to Pillow through Image.open(BytesIO(data)) without restricting decoder selection, and the MIME label does not constrain the selected format. Image-capable request paths through parse_image() and fetch_image() can therefore dispatch an EPS payload to host components. A host with Ghostscript affected by CVE-2024-29510 can execute commands with the vLLM process's privileges, while environments using Pillow 12.0.0 through 12.2.0 can trigger CVE-2026-59203 and exhaust media-loading workers. Deployments without the applicable vulnerable dependency are not affected by that corresponding impact. This issue is fixed in version 0.32.0.