CVE-2026-84377
Açıklama
LiteLLM, OpenAI (veya yerel) formatında LLM API'lerini çağırmak için kullanılan bir proxy sunucusudur (AI Gateway). 1.88.6 ve 1.96.2 versiyonlarından önce, kimliği doğrulanmış herhangi bir LiteLLM proxy kullanıcısı, giden bir sağlayıcı çağrısını kendi kontrolündeki bir hedefe yönlendirebilir ve proxy'nin yapılandırılmış sağlayıcı kimlik bilgilerini bu hedefe göndermesine neden olabilirdi. litellm/proxy/auth/auth_utils.py, litellm/proxy/common_request_processing.py, litellm/proxy/health_endpoints/_health_endpoints.py, litellm/proxy/image_endpoints/endpoints.py ve litellm/proxy/litellm_pre_call_utils.py dosyalarındaki istek doğrulaması; her hassas parametreyi kapsamadığı veya iç içe geçmiş istek alanları, yol değerleri ve köşeli parantez notasyonlu form verileri genelindeki eşdeğer değerleri incelemediği için eksik kontroller kullanıyordu. Bu nedenle api_base, base_url, model_list, fallbacks ve litellm_credential_name dahil olmak üzere yönlendirme ve kimlik bilgisi parametreleri, operatörün saklanan anahtarı temizlenmeden uygulanabiliyordu; bu durum üst akış sağlayıcı kimlik bilgilerini ve diğer yapılandırılmış sırları açığa çıkarıyor ve proxy tarafından erişilebilen dahili servislere sunucu tarafı isteklerine izin veriyordu. Bu sorun 1.88.6 ve 1.96.2 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- litellm1.88.6, 1.89.7, 1.90.7, 1.91.5, 1.92.2, 1.93.2, 1.94.3, 1.95.1, 1.96.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellmPyPI | v < 1.88.6, 1.89.0 ≤ v < 1.89.7, 1.90.0 ≤ v < 1.90.7, 1.91.0 ≤ v < 1.91.5, 1.92.0 ≤ v < 1.92.2, 1.93.0 ≤ v < 1.93.2, 1.94.0 ≤ v < 1.94.3, 1.95.0 ≤ v < 1.95.1, 1.96.0 ≤ v < 1.96.2 | 1.88.6, 1.89.7, 1.90.7, 1.91.5, 1.92.2, 1.93.2, 1.94.3, 1.95.1, 1.96.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.