PT-2026-37176
CVE-2026-42203
·
تاريخ النشر
2026-04-24
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات LiteLLM من 1.80.5 إلى 1.83.6
الوصف
تقبل نقطة النهاية ’POST /prompts/test‘ قوالب المطالبات التي يقدمها المستخدم وتعرضها دون استخدام بيئة الحماية (sandboxing). يمكن للمستخدم المصادق عليه الذي يمتلك مفتاح API وكيل صالحًا تقديم قالب مصمم خصيصًا لتنفيذ تعليمات برمجية عشوائية داخل عملية LiteLLM Proxy. وقد يؤدي ذلك إلى الكشف عن أسرار البيئة، مثل بيانات اعتماد قاعدة البيانات أو مفاتيح API المزود، ويسمح بتنفيذ الأوامر على نظام المضيف.
التوصيات
قم بالتحديث إلى الإصدار 1.83.7.
قم بحظر نقطة النهاية ’POST /prompts/test‘ على الوكيل العكسي أو بوابة واجهة برمجة التطبيقات (API).
قم بمراجعة وتبديل مفاتيح واجهة برمجة التطبيقات (API) التي لا ينبغي أن يكون لها حق الوصول إلى مسارات إدارة المطالبات.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾