CVE-2024-5225
Açıklama
berriai/litellm deposunda, özellikle `/global/spend/logs` uç noktasında bir SQL Injection zafiyeti bulunmaktadır. Zafiyet, bir SQL komutunda kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesinden kaynaklanmaktadır. Etkilenen kod, doğrulanmamış bir `api_key` parametresini doğrudan sorguya ekleyerek bir SQL sorgusu oluşturmakta ve bu durum, `api_key` kötü niyetli veriler içerdiğinde sistemi SQL Injection'a karşı savunmasız hale getirmektedir. Bu sorun, deponun en son sürümünü etkilemektedir. Bu zafiyetin başarıyla istismar edilmesi; yetkisiz erişime, veri manipülasyonuna, gizli bilgilerin ifşasına ve hizmet reddine (DoS) yol açabilir.
Nasıl düzeltilir
- litellm1.40.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellm litellm | v ≤ 1.40.2 | — |
| litellmPyPI | v < 1.40.0 | 1.40.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.