PT-2026-51212
CVE-2026-12798
·
تاريخ النشر
2026-06-21
·
تاريخ التحديث
2026-10-01
الوصف من
CVSS 2.0
6.5
متوسطةالمقاييسAV:N/AC:L/Au:S/C:P/I:P/A:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات BerriAI litellm الأقدم من 1.82.3
الوصف
يوجد ثغرة تزوير الطلبات من جانب الخادم (SSRF) في مكون MCP OpenAPI Spec Loader. تحدث المشكلة داخل الدالة
load openapi spec async() الموجودة في الملف litellm/proxy/ experimental/mcp server/openapi to mcp generator.py. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق التلاعب بالمعلمة spec path.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.82.2.
كحل مؤقت، قم بتقييد الوصول إلى الدالة
load openapi spec async() حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾