CVE-2026-35029
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
LiteLLM w wersji przed 1.83.0 zawiera podatność polegającą na braku wymagania autoryzacji roli administratora dla endpointu /config/update. Uwierzytelniony użytkownik może modyfikować konfigurację proxy, zmienne środowiskowe oraz rejestrować własne procedury obsługi endpointów, co prowadzi do zdalnego wykonania kodu, odczytu plików serwera i przejęcia kont uprzywilejowanych.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad serwerem LiteLLM, wyciek poufnych danych oraz nieautoryzowany dostęp do modeli AI, co może skutkować naruszeniem integralności systemu i utratą zaufania klientów.
Rekomendacja
Niezwłocznie zaktualizuj LiteLLM do wersji 1.83.0 lub nowszej. Ogranicz dostęp do endpointu /config/update tylko dla zaufanych administratorów oraz wdróż dodatkowe mechanizmy autoryzacji.
Inne podatności w LiteLLM
Zobacz wszystkie- CVE-2026-114612Krytyczne
LiteLLM to serwer proxy (AI Gateway) do wywoływania API LLM w formacie OpenAI (lub natywnym). Od wersji 1.87.0 do 1.100.4, 1.101.3, 1.102.2, 1.103.1 i 1.104.0-rc.2 proxy używa jednego kontekstu kryptograficznego dla sekretów w spoczynku i tokenów sesji, co pozwala uwierzytelnionemu użytkownikowi wewnętrznemu na spreparowanie metadanych zawierających sfałszowane poświadczenie administratora, które zostanie zaszyfrowane i zwrócone przez przepływ klucza API. Odtworzenie tego szyfrogramu jako tokenu bearer powoduje, że proxy ufa sfałszowanej tożsamości administratora proxy, umożliwiając dostęp administracyjny i dowolne polecenia przez endpoint MCP stdio. Wersje od 1.87.0 do 1.90.x wymagają włączenia EXPERIMENTAL_UI_LOGIN, natomiast wersje po 1.91.0 są podatne w konfiguracji domyślnej. Problem naprawiono w LiteLLM 1.100.4, 1.101.3, 1.102.2, 1.103.1 i 1.104.0-rc.2.
- CVE-2026-37004Krytyczne
BerriAI litellm w wersji 1.82.4 i wcześniejszych jest podatny na Server-Side Template Injection (SSTI). Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolne polecenia systemu operacyjnego poprzez spreparowany parametr dotprompt_content w punkcie końcowym /prompts/test, z powodu użycia niezabezpieczonego środowiska jinja2.Environment.
- CVE-2026-30623Krytyczne
LiteLLM 1.18.10 zawiera podatność zdalnego wykonania kodu w funkcji tworzenia serwera MCP. Aplikacja pozwala użytkownikom dodawać serwery MCP poprzez konfigurację JSON, określając dowolne wartości command i args, które są wykonywane na hoście bez walidacji. Umożliwia to atakującym uruchamianie dowolnych poleceń systemu operacyjnego.
- CVE-2026-59822WysokieAktywnie exploitowane
LiteLLM przed wersją 1.84.0 zawiera podatność w punkcie końcowym MCP Streamable HTTP, która umożliwia nieuwierzytelnionemu atakującemu ominięcie walidacji klucza LiteLLM poprzez spreparowany nagłówek Authorization. Atakujący może wykorzystać mechanizm OAuth2 passthrough, aby zastąpić nieudaną walidację klucza pustym obiektem UserAPIKeyAuth(), co pozwala na dotarcie żądań do narzędzi MCP bez ważnego klucza.
- CVE-2026-49468Krytyczne
LiteLLM proxy przed wersją 1.84.0 zawiera podatność związaną z parsowaniem nagłówka Host, która w określonych warunkach umożliwia nieuwierzytelniony dostęp do chronionych tras administracyjnych. Błąd wynika z rozbieżności między trasą ocenianą przez warstwę autoryzacji a trasą faktycznie przetwarzaną przez FastAPI.
- CVE-2026-42271WysokieAktywnie exploitowane
LiteLLM w wersjach od 1.74.2 do 1.83.6 zawiera podatność w endpointach POST /mcp-rest/test/connection i POST /mcp-rest/test/tools/list, które akceptują pełną konfigurację serwera MCP, w tym polecenia do wykonania. Uwierzytelniony użytkownik z dowolnym kluczem API może uruchomić dowolne polecenie na hoście proxy.
- CVE-2026-42208KrytyczneAktywnie exploitowane
W wersjach LiteLLM od 1.81.16 do 1.83.7 występuje podatność na wstrzykiwanie SQL w zapytaniu do bazy danych używanym podczas sprawdzania kluczy API proxy. Nieuwierzytelniony atakujący może wysłać spreparowany nagłówek Authorization do dowolnej trasy API LLM, co prowadzi do odczytu i potencjalnie modyfikacji danych w bazie proxy.
- CVE-2026-40217Wysokie
Podatność w LiteLLM do 2026-04-08 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez przepisanie kodu bajtowego na ścieżce /guardrails/test_custom_code.
- CVE-2026-35030Krytyczne
Podatność w LiteLLM przed wersją 1.83.0, gdy włączone jest uwierzytelnianie JWT (enable_jwt_auth: true), polega na tym, że cache OIDC userinfo używa pierwszych 20 znaków tokena jako klucza cache. Tokeny JWT generowane przez ten sam algorytm podpisu mają identyczne pierwsze 20 znaków, co pozwala nieuwierzytelnionemu atakującemu na stworzenie tokena pasującego do cache'a i przejęcie tożsamości oraz uprawnień legalnego użytkownika.
- CVE-2026-108575Średnie
W BerriAI LiteLLM do wersji 1.94.0 wykryto podatność. Dotyczy ona funkcji get_secret w pliku secret_managers/main.py komponentu Secret Resolution. Manipulacja argumentem api_key prowadzi do nieprawidłowej autoryzacji. Atak może być inicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. Prior to 1.83.0, the /config/update endpoint does not enforce admin role authorization. A user who is already authenticated into the platform can then use this endpoint to modify proxy configuration and environment variables, register custom pass-through endpoint handlers pointing to attacker-controlled Python code, achieving remote code execution, read arbitrary server files by setting UI_LOGO_PATH and fetching via /get_image, and take over other privileged accounts by overwriting UI_USERNAME and UI_PASSWORD environment variables. Fixed in v1.83.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS