CVE-2024-4888

Versão mais recente do litellm da BerriAI

O problema decorre de uma validação inadequada de entradas no endpoint “/audio/transcriptions”, permitindo que um invasor envie uma solicitação especialmente criada que inclua um caminho de arquivo para o servidor. Isso resulta na exclusão do arquivo especificado sem a devida autorização ou validação. A vulnerabilidade está presente no código onde os.remove(file.filename) é usado para excluir um arquivo, permitindo que qualquer usuário exclua arquivos críticos no servidor, como chaves SSH, bancos de dados SQLite ou arquivos de configuração.

Como solução temporária, considere desativar a função os.remove(file.filename) até que um patch esteja disponível. Restrinja o acesso ao endpoint “/audio/transcriptions” para minimizar o risco de exploração. Evite usar a variável file.filename no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.