vLLM 0.30 и старше: 30+ новых advisories без CVE, сканеры их не видят

С 12 сентября по 9 октября 2026 года vLLM опубликовала более 30 security advisories, большинство без CVE ID, поэтому pip-audit и Dependabot их не показывают. Уязвимости исправлены в vLLM 0.31.0 от 5 октября 2026 года.

• Более 30 advisories vLLM за 12 сентября — 9 октября 2026 года, большинство без CVE ID
• GHSA-h3rc-6mm3-gc2m (CVSS 8.1): /tokenize без аутентификации при trust_remote_code=True
• GHSA-gx7p-2j49-hfq4 (CVSS 7.5): per-request mm_processor_kwargs исчерпывают CPU или GPU
• vLLM 0.31.0 от 5 октября 2026 года закрывает все перечисленные уязвимости