CVE-2026-93355

Nome do Software Vulnerável e Versões Afetadas LiteLLM (versões afetadas não especificadas)

Descrição Um problema de autenticação fraca existe no fluxo de autenticação JWT. Um invasor com um JSON Web Token (JWT) válido do provedor de identidade configurado pode se autenticar como qualquer usuário existente explorando uma busca de fallback baseada em e-mail. Isso ocorre porque o sistema não verifica a reivindicação email verified. Ao apresentar um token com um endereço de e-mail não verificado que corresponda à conta de uma vítima, um invasor pode herdar a função da vítima, incluindo privilégios de proxy admin. Isso pode levar à substituição permanente da vinculação de identidade armazenada da vítima, concedendo acesso não autorizado persistente a endpoints administrativos que expõem chaves de API e gerenciamento de usuários.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.