CVE-2026-93355
Təsvir
LiteLLM zəif autentifikasiya boşluğuna malikdir ki, bu da konfiqurasiya edilmiş kimlik təminatçısından etibarlı JWT-yə malik olan hücumçuya, JWT autentifikasiya axınındakı `email_verified` iddiasını yoxlamadan e-poçt əsaslı fallback axtarışından istifadə edərək hər hansı mövcud istifadəçi kimi autentifikasiyadan keçməyə imkan verir. Hücumçular qurbanın hesabına uyğun gələn təsdiqlənməmiş e-poçt ünvanı olan token təqdim edərək, o cümlədən `proxy_admin` imtiyazları daxil olmaqla qurbanın rolunu əldə edə və API açarlarını və istifadəçi idarəetməsini üzə çıxaran inzibati son nöqtələrə daimi icazəsiz girişi saxlamaq üçün qurbanın saxlanılan kimlik bağlamasını daimi olaraq yenidən yaza bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| BerriAI litellm | v ≤ 1.102.1, v ≤ f4308bc124eebc783dfc51790ce8db27ed21ae00 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.