CVE-2026-59823 in LiteLLM
Resumen
por VulDB • 2026-09-16
LiteLLM es un servidor proxy (AI Gateway) para llamar a las APIs de LLM en formato OpenAI (o nativo). Antes de la versión 1.83.9, un usuario autenticado del Proxy LiteLLM con una clave virtual válida puede colocar `api_base` dentro del cuerpo de la solicitud `user_config` para eludir `is_request_body_safe`, que bloquea los campos `api_base` y `base_url` de nivel superior pero anteriormente no inspeccionaba ni rechazaba `user_config`. Dado que `user_config` construye el enrutador saliente, el destino anidado redirige una solicitud del lado del servidor hacia un host interno o externo seleccionado por el usuario, lo que puede exponer puntos finales a los que el usuario no podría acceder de otra manera. Este problema se soluciona en la versión 1.83.9.
If you want to get best quality of vulnerability data, you may have to visit VulDB.