vLLM 0.28.0 至 0.30.0 前存在 DoS 漏洞

CVE-2026-126398 披露 vLLM 0.28.0 至 0.30.0 前版本存在可达断言漏洞（CVSS 8.2，High）：远程攻击者向 /v1/completions 提交仅含 prompt_embeds 的请求，即可触发 GPUModelRunner._init_xdrope_positions 中的断言，终止 EngineCore 与 API server，造成拒绝服务。该漏洞仅影响 XD-RoPE 模型。 修复方式为升级至 0.30.0。该漏洞未被列入 CISA 已知被利用漏洞目录，CISA SSVC 评估未标记为活跃利用，也未跟踪到公开利用代码；是否需要非默认功能或设置触发尚不明确，需查阅公告。

AI 根据报道生成 · 59 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。