CVE-2026-49468
Açıklama
LiteLLM, OpenAI (veya yerel) formatında LLM API'lerini çağırmak için kullanılan bir proxy sunucusudur (AI Gateway). 1.84.0 sürümünden önce, LiteLLM proxy'sindeki bir Host-header ayrıştırma hatası, belirli koşullar altında korumalı yönetim rotalarına kimlik doğrulaması yapılmadan erişime izin verebilirdi. Kimlik doğrulama katmanı, etkili rotayı `litellm/proxy/auth/auth_utils.py::get_request_route()` içerisindeki `request.url.path` üzerinden türetmekteydi ve Starlette bunu Host başlığından yeniden oluşturmaktaydı. Bu nedenle, özel olarak hazırlanmış bir Host başlığı, kimlik doğrulama kapısının FastAPI tarafından yönlendirilen rotadan farklı bir rotayı değerlendirmesine neden olabilirdi. Bu güvenlik açığı 1.84.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- litellm litellm1.84.0 ya da sonraki bir sürüm
- litellm1.84.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellm litellm | v < 1.84.0 | 1.84.0 |
| litellmPyPI | v < 1.84.0 | 1.84.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.