PT-2026-121505 · Litellm · Litellm
CVE-2026-114612
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
CVSS v3.1
9.9
حرجة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
LiteLLM الإصدارات من 1.87.0 إلى 1.100.3
LiteLLM الإصدارات من 1.101.0 إلى 1.101.2
LiteLLM الإصدارات من 1.102.0 إلى 1.102.1
LiteLLM الإصدار 1.103.0
LiteLLM الإصدارات من 1.104.0-rc.0 إلى 1.104.0-rc.1
Description
يقوم LiteLLM بإعادة استخدام سياق تشفير واحد لكل من الأسرار المخزنة ورموز الجلسة. يسمح هذا لمستخدم داخلي مصرح له بصياغة بيانات وصفية تحتوي على اعتماد مسؤول مزور، والذي يقوم تدفق مفتاح API بتشفيره وإعادته. من خلال إعادة إرسال هذا النص المشفر كرمز حامل، يثق البروكسي في هوية المسؤول المزورة. يمنح هذا وصولاً إدارياً والقدرة على تنفيذ أوامر عشوائية من خلال نقطة نهاية MCP stdio، بالإضافة إلى الوصول إلى جميع مفاتيح المزودين الخارجيين. في الإصدارات من 1.87.0 إلى 1.90.x، يتطلب ذلك تفعيل المتغير
EXPERIMENTAL UI LOGIN ، بينما تكون الإصدارات بعد 1.91.0 قابلة للاستغلال في التكوين الافتراضي.Recommendations
التحديث إلى الإصدار 1.100.4 أو 1.101.3 أو 1.102.2 أو 1.103.1 أو 1.104.0-rc.2.
إصلاح
Insufficient Verification of Data Authenticity
Improper Privilege Management
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Litellm