GHSA 披露 vLLM 多模态处理器 DoS 漏洞

GitHub 安全公告库披露 vLLM 一个拒绝服务（DoS）漏洞（GHSA-gx7p-2j49-hfq4）：API 客户端可按请求传入任意 mm_processor_kwargs，这些值会被转发到 Hugging Face 及自定义图像/视频处理器的构造函数，远程客户端因此能控制图像尺寸、patch 数量、裁剪数量或帧数等资源敏感参数。 公告称，vLLM 的 API key 是可选的，因此未加外部认证层的部署可被无权限远程访问；该逐请求字段自 v0.7.3 起引入，通用转发路径在当前 main 分支仍存在。相关补丁已通过 PR #58830 合并。 公告未说明补丁随哪个版本发布，也未说明已部署实例应如何处置。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。