PT-2026-31920
CVE-2026-40217
·
تاريخ النشر
2026-02-19
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
LiteLLM الإصدارات الأقدم من 1.83.11
الوصف
ثغرة في خادم البروكسي تسمح للمهاجمين عن بُعد بتنفيذ تعليمات برمجية عشوائية من خلال إعادة كتابة البايت كود. تحدث المشكلة لأن نقطة النهاية
POST /guardrails/test custom code تُنفذ لغة Python التي يقدمها المستخدم داخل بيئة عزل مخصصة يمكن التحايل عليها باستخدام تقنيات على مستوى البايت كود. وهذا يسمح بتنفيذ كود ضار في عملية الوكيل، التي تُنفذ عادةً بامتيازات الجذر في صورة Docker القياسية. في الإعدادات الافتراضية، يتطلب الوصول إلى نقطة النهاية هذه بيانات اعتماد مسؤول الوكيل.التوصيات
قم بالتحديث إلى الإصدار 1.83.11 أو أحدث.
كإجراء مؤقت، قم بحظر نقطة النهاية
POST /guardrails/test custom code في الوكيل العكسي أو بوابة واجهة برمجة التطبيقات (API).قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾