CVE-2026-59822
Açıklama
LiteLLM, OpenAI (veya yerel) formatında LLM API'lerini çağırmak için kullanılan bir proxy sunucusudur (AI Gateway). 1.84.0 sürümünden önce, LiteLLM'in MCP Streamable HTTP uç noktası, kimliği doğrulanmamış bir saldırganın sahte bir Authorization başlığı kullanarak, başarısız olan LiteLLM anahtar doğrulamasını boş bir UserAPIKeyAuth() nesnesiyle değiştiren bir OAuth2 passthrough fallback yolunu tetiklemesine izin veriyordu; bu durum, isteklerin geçerli bir LiteLLM anahtarı olmadan MCP araçlarına ulaşmasına olanak tanıyordu. Bu sorun 1.84.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 16 Eyl 2026- litellm litellm1.84.0 ya da sonraki bir sürüm
- litellm1.84.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellm litellm | v < 1.84.0 | 1.84.0 |
| litellmPyPI | v < 1.84.0 | 1.84.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.