vLLM-i ebaturvaline pildiformaadi tuvastus ja töötlemine (PYSEC-2026-4346)

Enne vLLM-i versiooni 0.32.0 ei piiranud ImageMediaIO Pillow’le edastatavate ründaja kontrollitavate pildiandmete dekoodri valikut. MIME-tüüp ei piiranud tegelikult valitud formaati, mistõttu võis EPS-sisu jõuda hosti komponentideni. Haavatava Ghostscripti korral võib see võimaldada käskude täitmist vLLM-i protsessi õigustes; Pillow’ versioonidega 12.0.0–12.2.0 võib see põhjustada meediumi laadimise töölõimede ammendumist. Mõju sõltub kasutatud sõltuvustest ja hosti konfiguratsioonist.