Veille sécuritéBackend & données
P4Moyenne
Une condition de concurrence dans le chargement de parties `prompt_embeds` permet de contourner la protection ajoutée contre CVE-2025-62164, en désactivant temporairement la vérification des invariants des tenseurs creux. Le déclenchement nécessite `–enable-prompt-embeds` ; la version corrigée indiquée est vLLM 0.26.0.
Python
IdentifiantCVE-2026-73557
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.1.3
Source : GHSA-pr7f-p5mw-fc87 — vLLM: Incomplete CVE-2025-62164 remediation can be bypassed by concurrent prompt parts
Analyse technique
La vérification PyTorch repose sur un état global modifié par des opérations concurrentes de sauvegarde, d’activation et de restauration. Une partie de requête peut ainsi charger un tenseur creux invalide alors qu’une autre partie a rétabli la vérification à l’état désactivé.
Impact, versions et correctif
Événement datéRetenu car l’avis GHSA a été substantiellement mis à jour le 2026-10-12T11:22:03Z, dans la période demandée ; la date de publication initiale est antérieure.
ImpactUne charge utile malformée peut contourner la vérification et atteindre le traitement d’un tenseur invalide ; l’avis décrit les conséquences de crash ou de corruption mémoire comme dépendantes du comportement associé à la vulnérabilité historique.
Versions affectées>= 0.21.0, < 0.26.0
Version corrigée3.1.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,40% · percentile 32,7%
Mise à jour2026-10-12T11:22:03Z
Action recommandée
Mettre à niveau vers vLLM 0.26.0 ou ultérieur. Si la mise à niveau n’est pas possible, laisser désactivée l’option `–enable-prompt-embeds`.
Sources
Priorisation DFS : P4 · 1 source(s).