CVE-2026-115918 La API Responses de vLLM omite trust_request_chat_template para chat_template_kwargs
Desde 0.16.0 hasta 0.32.0, el endpoint /v1/responses permite a un llamador autenticado colocar una plantilla controlada por el atacante en chat_template_kwargs[chat_template] cuando no hay plantilla configurada en el servidor. ChatParams.get_apply_chat_template_kwargs() conserva ese valor sin aplicar trust_request_chat_template, lo que permite omitir la política de confianza y agotar CPU o memoria mediante el renderizado Jinja. Corregido en 0.32.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 28
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
vllm-project vllm
>= 0.16.0, < 0.32.0
Qué hacer
- Verificá si usás vllm y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
vLLM is an inference and serving engine for large language models. From 0.16.0 until 0.32.0, the /v1/responses endpoint allows an authenticated caller to place an attacker-controlled template in chat_template_kwargs[chat_template] when no server template is configured. ChatParams.get_apply_chat_template_kwargs() preserves that value without enforcing trust_request_chat_template, so the request can bypass the intended trust policy and cause CPU or memory exhaustion through Jinja rendering. This issue is fixed in version 0.32.0.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.