CVE-2026-90555

6.5 Moyenne

Publiée le 12/09/2026 à 15:16 · Modifiée le 16/09/2026 à 19:31 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

vLLM versions before 0.28.0 fail to validate audio sample rate headers in the transcription endpoint, allowing authenticated clients to bypass duration checks. Attackers can submit forged FLAC headers with inflated sample rates to trigger excessive memory allocation and crash the API server process affecting all tenants.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	7.1 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	6.5 Moyenne	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H`

Faiblesses (CWE)

CWE-409

Références

https://github.com/vllm-project/vllm/security/advisories/GHSA-99f2-hwrc-gvq8 Vendor Advisory
https://www.vulncheck.com/advisories/vllm-before-0.28.0-denial-of-service-via-audio-header Third Party Advisory

CVE-2026-90555

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs