PT-2026-51211

CVE-2026-12797

Publicado

2026-06-21

Atualizado

2026-10-01

Descrição por

CVSS 2.0

6.5

Média

MétricasAV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas BerriAI litellm versões anteriores a 1.82.6

Description Um bypass de autorização existe na Interface de Completions. O problema ocorre na função async pre call hook() localizada no arquivo enterprise/enterprise hooks/banned keywords.py. Atacantes remotos podem manipular o argumento prompt para obter autorização incorreta.

Recommendations Atualize para a versão 1.82.6 ou posterior. Como medida paliativa temporária, restrinja o acesso à função async pre call hook() no arquivo enterprise/enterprise hooks/banned keywords.py.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Eric-C

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-285: Improper Authorization

CWE-863: Incorrect Authorization

Identificadores relacionados