製品・ソフトウェアに関する情報
Vulnerability Search
vLLMにおけるリソースの枯渇に関する脆弱性
Title vLLMにおけるリソースの枯渇に関する脆弱性
Summary

vLLMバージョン0.8.0以降では、`VideoMediaIO.load_base64()`メソッドにフレーム数の制限がない処理が存在するため、メモリ不足（OOM）によるサービス拒否（DoS）攻撃の脆弱性があります。`video/jpeg`データURLを処理する際に、このメソッドはカンマでbase64データ文字列を分割して個々のJPEGフレームを抽出しますが、フレーム数の制限を強制しません。攻撃者は、1つのAPIリクエストに数千のカンマ区切りのbase64エンコードされたJPEGフレームを含むデータURLを作成し、この脆弱性を悪用できます。その結果、サーバーは全てのフレームをメモリにデコードし、過剰なメモリ消費によってクラッシュします。この脆弱性はOpenAI互換のチャット補完API経由で利用可能であり、認証を必要としません。

Possible impacts ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアが完全に停止する可能性があります。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 11, 2026, midnight
Registration Date June 16, 2026, 1:35 p.m.
Last Update June 16, 2026, 1:35 p.m.
CVSS3.0 : 重要
Score 7.5
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Affected System
vLLM
vLLM 0.8.0 以上 0.19.0 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年06月16日]
  掲載		 June 16, 2026, 1:35 p.m.
NVD Vulnerability Information
CVE-2026-5497
Summary

vLLM versions 0.8.0 and later are vulnerable to an Out-of-Memory (OOM) Denial of Service (DoS) attack due to unbounded frame count processing in the `VideoMediaIO.load_base64()` method. When processing `video/jpeg` data URLs, the method splits the base64 data string on commas to extract individual JPEG frames without enforcing a frame count limit. An attacker can exploit this by crafting a single API request containing thousands of comma-separated base64-encoded JPEG frames in a data URL, causing the server to decode all frames into memory and crash due to excessive memory consumption. This vulnerability is reachable via the OpenAI-compatible chat completions API and does not require authentication.

Publication Date June 11, 2026, 7:16 p.m.
Registration Date June 12, 2026, 4:18 a.m.
Last Update June 16, 2026, 1:11 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:vllm:vllm:*:*:*:*:*:*:*:* 0.8.0 0.19.0
Related information, measures and tools
Common Vulnerabilities List