Aktywnie wykorzystywana w atakach
BerriAI LiteLLM Command Injection Vulnerability
BerriAI - LiteLLM · Figuruje w katalogu CISA KEV od 2026-06-08. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2026-42271
WysokieCVSS 8.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
LiteLLM w wersjach od 1.74.2 do 1.83.6 zawiera podatność w endpointach POST /mcp-rest/test/connection i POST /mcp-rest/test/tools/list, które akceptują pełną konfigurację serwera MCP, w tym polecenia do wykonania. Uwierzytelniony użytkownik z dowolnym kluczem API może uruchomić dowolne polecenie na hoście proxy.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może przejąć kontrolę nad serwerem proxy, wykonując dowolne polecenia, co prowadzi do pełnej kompromitacji systemu i potencjalnego wycieku danych.
Rekomendacja
Natychmiast zaktualizuj LiteLLM do wersji 1.83.7 lub nowszej. Ogranicz dostęp do endpointów testowych tylko dla zaufanych użytkowników.
Inne podatności w LiteLLM
Zobacz wszystkie- CVE-2026-37004Krytyczne
BerriAI litellm w wersji 1.82.4 i wcześniejszych jest podatny na Server-Side Template Injection (SSTI). Nieuwierzytelnieni zdalni atakujący mogą wykonać dowolne polecenia systemu operacyjnego poprzez spreparowany parametr dotprompt_content w punkcie końcowym /prompts/test, z powodu użycia niezabezpieczonego środowiska jinja2.Environment.
- CVE-2026-30623Krytyczne
LiteLLM 1.18.10 zawiera podatność zdalnego wykonania kodu w funkcji tworzenia serwera MCP. Aplikacja pozwala użytkownikom dodawać serwery MCP poprzez konfigurację JSON, określając dowolne wartości command i args, które są wykonywane na hoście bez walidacji. Umożliwia to atakującym uruchamianie dowolnych poleceń systemu operacyjnego.
- CVE-2026-59822WysokieAktywnie exploitowane
LiteLLM przed wersją 1.84.0 zawiera podatność w punkcie końcowym MCP Streamable HTTP, która umożliwia nieuwierzytelnionemu atakującemu ominięcie walidacji klucza LiteLLM poprzez spreparowany nagłówek Authorization. Atakujący może wykorzystać mechanizm OAuth2 passthrough, aby zastąpić nieudaną walidację klucza pustym obiektem UserAPIKeyAuth(), co pozwala na dotarcie żądań do narzędzi MCP bez ważnego klucza.
- CVE-2026-49468Krytyczne
LiteLLM proxy przed wersją 1.84.0 zawiera podatność związaną z parsowaniem nagłówka Host, która w określonych warunkach umożliwia nieuwierzytelniony dostęp do chronionych tras administracyjnych. Błąd wynika z rozbieżności między trasą ocenianą przez warstwę autoryzacji a trasą faktycznie przetwarzaną przez FastAPI.
- CVE-2026-42208KrytyczneAktywnie exploitowane
W wersjach LiteLLM od 1.81.16 do 1.83.7 występuje podatność na wstrzykiwanie SQL w zapytaniu do bazy danych używanym podczas sprawdzania kluczy API proxy. Nieuwierzytelniony atakujący może wysłać spreparowany nagłówek Authorization do dowolnej trasy API LLM, co prowadzi do odczytu i potencjalnie modyfikacji danych w bazie proxy.
- CVE-2026-40217Wysokie
Podatność w LiteLLM do 2026-04-08 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez przepisanie kodu bajtowego na ścieżce /guardrails/test_custom_code.
- CVE-2026-35030Krytyczne
Podatność w LiteLLM przed wersją 1.83.0, gdy włączone jest uwierzytelnianie JWT (enable_jwt_auth: true), polega na tym, że cache OIDC userinfo używa pierwszych 20 znaków tokena jako klucza cache. Tokeny JWT generowane przez ten sam algorytm podpisu mają identyczne pierwsze 20 znaków, co pozwala nieuwierzytelnionemu atakującemu na stworzenie tokena pasującego do cache'a i przejęcie tożsamości oraz uprawnień legalnego użytkownika.
- CVE-2026-35029Wysokie
LiteLLM w wersji przed 1.83.0 zawiera podatność polegającą na braku wymagania autoryzacji roli administratora dla endpointu /config/update. Uwierzytelniony użytkownik może modyfikować konfigurację proxy, zmienne środowiskowe oraz rejestrować własne procedury obsługi endpointów, co prowadzi do zdalnego wykonania kodu, odczytu plików serwera i przejęcia kont uprzywilejowanych.
- CVE-2026-93355Wysokie
LiteLLM zawiera lukę słabego uwierzytelniania, która pozwala atakującemu posiadającemu ważny JWT od skonfigurowanego dostawcy tożsamości na uwierzytelnienie się jako dowolny istniejący użytkownik poprzez wykorzystanie mechanizmu zapasowego wyszukiwania opartego na adresie e-mail w przepływie uwierzytelniania JWT, bez weryfikacji oświadczenia email_verified. Atakujący może przedstawić token z niezweryfikowanym adresem e-mail pasującym do konta ofiary, aby przejąć rolę ofiary, w tym uprawnienia proxy_admin, i trwale nadpisać powiązanie tożsamości ofiary, aby zachować stały nieautoryzowany dostęp do punktów końcowych administracyjnych ujawniających klucze API i zarządzanie użytkownikami.
- CVE-2026-89032Wysokie
Podatność w BerriAI LiteLLM przed wersją 1.101.0-rc.1, polegająca na obejściu izolacji dzierżawców w warstwie pamięci podręcznej semantycznej. Uwierzytelniony użytkownik może odczytać odpowiedzi z pamięci podręcznej innych dzierżawców, wykorzystując niezgodność kluczy metadanych między funkcjami _get_semantic_cache_tenant_scope() i _get_metadata_variable_name(). Atakujący z ważnym kluczem wirtualnym może wysyłać podobne semantycznie zapytania, aby uzyskać dane osobowe, finansowe lub kod źródłowy innych dzierżawców oraz spowodować automatyczne wykonanie połączeń narzędziowych pod cudzymi danymi uwierzytelniającymi.
Oryginalny opis (angielski, źródło NVD)
LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. From version 1.74.2 to before version 1.83.7, two endpoints used to preview an MCP server before saving it — POST /mcp-rest/test/connection and POST /mcp-rest/test/tools/list — accepted a full server configuration in the request body, including the command, args, and env fields used by the stdio transport. When called with a stdio configuration, the endpoints attempted to connect, which spawned the supplied command as a subprocess on the proxy host with the privileges of the proxy process. The endpoints were gated only by a valid proxy API key, with no role check. Any authenticated user — including holders of low-privilege internal-user keys — could therefore run arbitrary commands on the host. This issue has been patched in version 1.83.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS