CVE-2026-47102
Açıklama
1.83.10 sürümü öncesindeki LiteLLM, bir kullanıcının /user/update uç noktası aracılığıyla kendi user_role değerini değiştirmesine izin verir. Uç nokta, kullanıcıların yalnızca kendi hesaplarını güncellemesini doğru şekilde kısıtlasa da hangi alanların değiştirilebileceğini kısıtlamaz. Bu uç noktaya erişebilen bir kullanıcı, rolünü proxy_admin olarak ayarlayarak tüm kullanıcılar, ekipler, anahtarlar, modeller ve istem geçmişi dahil olmak üzere LiteLLM'e tam yönetici erişimi sağlayabilir. org_admin rolüne sahip kullanıcılar bu uç noktaya yasal erişime sahiptir ve herhangi bir ek açıkla zincirleme yapmadan bu zafiyeti istismar edebilirler.
Nasıl düzeltilir
- litellm litellm1.83.10 ya da sonraki bir sürüm
- litellm1.83.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellm litellm | v < 1.83.10 | 1.83.10 |
| litellmPyPI | v < 1.83.10 | 1.83.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.