FICHE CVE

CVE-2026-73556

Publiée le 2026-08-13 · Dernière modification le 2026-08-14

🇫🇷 EN BREF

Les moteurs de service vLLM antérieurs à la version 0.26.0 sont vulnérables à une attaque par déni de service via la fonctionnalité de sortie structurée. Un attaquant distant non authentifié peut envoyer une expression régulière spécialement conçue dans une requête de complétion pour figer un cœur de processeur et bloquer le moteur de sortie. Cette faille est facile à exploiter car elle ne nécessite qu'un accès réseau à l'API, sans interaction utilisateur ni identifiants.

CVSS 3.15.3 MOYENNE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-08-13

Dernière modification2026-08-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

vLLM is an inference and serving engine for large language models. Prior to 0.26.0, the structured_outputs.regex parameter in vllm/v1/structured_output/backend_lm_format_enforcer.py is passed to lmformatenforcer.RegexParser without compile_regex_with_timeout or validation in validate_structured_output_request_lm_format_enforcer, allowing an unauthenticated /v1/completions request against the lm-format-enforcer backend to consume a CPU core and stall the structured-output engine path with a catastrophic regular expression. This issue is fixed in version 0.26.0.