漏洞概述 漏洞名称: Unbounded Frame Count in video/jpeg Base64 Data URL Processing Leads to OOM DoS in vllm-project/vllm CVE编号: CVE-2026-5497 漏洞类型: CWE-400: Uncontrolled Resource Consumption 严重程度: High (7.5) 影响版本: vLLM 0.8.3+ 可见性: Public 状态: Fixed 发现者: Seokjun Ryu (@seokjun) 摘要: vLLM的多模态处理管道中的 方法在分割 数据URL时，使用逗号分隔符提取单个JPEG帧，但不强制执行帧数限制。攻击者可以构造一个包含数千个逗号分隔的base64编码JPEG帧的数据URL，导致服务器解码所有帧到内存中，引发OutOfMemory (OOM)条件。 影响范围 可用性: 未经身份验证的攻击者可以通过单个API请求使vLLM服务器进程崩溃。 无需身份验证: vLLM没有默认的身份验证机制。 单次请求: 与流式传输的DoS不同，这只需要一个请求。 放大效应: 压缩的JPEG负载很小（5000帧约100KB），但解压后会导致内存中的吉字节。 生产影响: 服务器崩溃时，所有进行中的请求都会丢失。 修复方案 建议修复方向: 在 base64代码路径中应用 限制。 概念验证 (POC) 代码