PT-2026-30278
CVE-2026-35029
·
تاريخ النشر
2026-04-03
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات LiteLLM الأقدم من 1.83.0
الوصف
LiteLLM هو خادم وكيل لواجهات برمجة تطبيقات (API) نماذج اللغة الكبيرة (LLM). لم تفرض نقطة نهاية واجهة برمجة التطبيقات
/config/update تفويض دور المسؤول، مما سمح للمستخدمين المصادق عليهم بتعديل إعدادات الوكيل ومتغيرات البيئة. قد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد من خلال تسجيل معالجات نقاط نهاية تمرير مخصصة تشير إلى تعليمات برمجية Python يسيطر عليها المهاجم، وقراءة ملفات الخادم التعسفية عبر نقطة النهاية /get image عن طريق التلاعب بمتغير UI LOGO PATH، والاستيلاء على الحسابات ذات الامتيازات عن طريق الكتابة فوق متغيرات البيئة UI USERNAME وUI PASSWORD. تتطلب نقطة النهاية الآن دور proxy admin.التوصيات
قم بالتحديث إلى الإصدار 1.83.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾