LMCache: слабый хеш в обработчике KV-кэша (CVE-2026-10813)
В LMCache до версии 0.5.4 обнаружена уязвимость CVE-2026-10813, связанная с использованием слабого хеша в функции hex_hash_to_int16. Эксплуатация возможна только локально и требует высокой сложности, поэтому критичность оценивается как низкая (CVSS 2.0). Проблема устранена в релизе 0.5.5.
Подробности
Уязвимость затрагивает функцию hex_hash_to_int16 в файле lmcache/integration/vllm/utils.py. По данным CVE Project, недостаток присутствует во всех версиях LMCache до 0.5.4 включительно. Согласно комментарию участника проекта, функция была добавлена в версии 0.3.1 (PR #882, коммит f5174701), отсутствует в 0.3.0 и сохраняется в диапазоне от 0.4.7 до 0.5.4. Тип уязвимости — использование слабого хеша (use of weak hash). Опасность заключается в том, что слабый алгоритм хеширования повышает вероятность коллизий и может быть использован для манипуляции данными при определённых условиях. Уровень критичности по CVSS составляет 2.0 (LOW). Для эксплуатации атакующему необходим локальный доступ к системе, а сама атака требует высокого уровня сложности — эксплуатируемость оценивается как затруднительная. При этом отмечается, что эксплойт уже опубликован и потенциально может быть использован.Что делать
Разработчики рекомендуют обновиться до версии LMCache 0.5.5, в которой проблема устранена. Соответствующий патч имеет идентификатор ce08eea76ce5898200efee55f4932fd07a7cabeb. Обновление затронутого компонента — основной способ митигации. Дополнительно стоит ограничить локальный доступ к среде, где используется LMCache, и контролировать целостность конфигураций и данных KV-кэша. Учитывая, что эксплойт опубликован, затягивать с обновлением не рекомендуется, даже несмотря на низкую оценку критичности. Итог: CVE-2026-10813 — малозначимая по шкале CVSS, но реальная уязвимость в LMCache, связанная со слабым хешированием в обработчике KV-кэша. Единственная надёжная мера — переход на версию 0.5.5.Источник: CVE Project (cvelistV5)