Veille sécuritéBackend & données
P3Élevée
Dans certains déploiements vLLM à plusieurs nœuds avec cache multimodal en mémoire partagée, un appelant authentifié peut fournir des métadonnées falsifiées entraînant une désérialisation pickle non sûre. Cela peut permettre l’exécution de code Python; la version 0.32.0 corrige le problème.
Python
IdentifiantCVE-2026-115912
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.32.0
Source : NVD — CVE-2026-115912
Analyse technique
Les valeurs contrôlées dans les données multimodales peuvent être transmises à pickle.loads() par les workers concernés.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-26 à 17:17:18 UTC, soit 19:17:18 +02:00, dans la période demandée. La mise à jour NVD du 2026-10-28 est postérieure à la période et n’est pas retenue comme événement.
ImpactExécution arbitraire de code Python dans les conditions de déploiement affectées.
Versions affectéesAntérieures à 0.32.0
Version corrigée0.32.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-26T19:17:18+02:00
Action recommandée
Mettre à niveau vers la version 0.32.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).