در نسخه‌های vLLM تا ورژن 0.29.0، یک آسیب‌پذیری از نوع تخلیه منابع (Resource Exhaustion) در بخش MooncakeConnector شناسایی شده است که تحت شناسه CVE-2026-94625 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی زمانی رخ می‌دهد که درخواست‌های Prefill رد شده، باعث ایجاد Placeholderهای انتقال بدون مالک (Ownerless) می‌شوند. از آنجایی که این جایگاه‌ها هرگز بازیابی (Reclaim) نمی‌شوند، در صورت ارسال درخواست‌های رد شده توسط مهاجم، استخر وظایف فرستنده (Sender Task Pools) به طور کامل اشغال می‌گردد.
تاثیرات عملیاتی
- تاخیر در پردازش: درخواست‌های معتبر ممکن است با تاخیری تا 480 ثانیه مواجه شوند.
- فریب سیستم‌های نظارتی: در حالی که سیستم دچار اختلال در پردازش است، Health Checkها همچنان وضعیت Success را بازمی‌گردانند و این موضوع باعث می‌شود نقص سیستم برای مدیران SOC یا ابزارهای مانیتورینگ شناسایی نشود.
این آسیب‌پذیری می‌تواند منجر به ایجاد شرایط Denial of Service (DoS) در لایه‌های پردازشی مدل‌های زبانی شود.
