CERT24PYSEC-2026-4348: vLLM-i vaikimisi lubav CORS-poliitika
Enne vLLM-i versiooni 0.32.0 seadis OpenAI-ühilduv server Starlette'i CORSMiddleware'i vaikimisi lubama päringuid kõikidelt päritoludelt. Pahatahtlik veebileht võis kasutada ohvri brauserit, et pöörduda localhostis, sisevõrgus või VPN-is kättesaadava autentimata vLLM-serveri poole, kasutada muu hulgas mudelite loetlemise ja vestluse lõpetamise lõpp-punkte, tarbida GPU ressursse ning lugeda vastuseid.