CVE-2026-84377 in LiteLLM
要約
〜によって VulDB • 2026年09月02日
LiteLLMは、OpenAI（またはネイティブ）形式でLLM APIを呼び出すためのプロキシサーバー（AIゲートウェイ）です。バージョン1.88.6および1.96.2より前では、認証済みLiteLLMプロキシユーザーの誰でも、送信先プロバイダへのコールを自身が制御する宛先にリダイレクトし、プロキシが設定されたプロバイダ資格情報をその宛先に送信させることができました。litellm/proxy/auth/auth_utils.py、litellm/proxy/common_request_processing.py、litellm/proxy/health_endpoints/_health_endpoints.py、litellm/proxy/image_endpoints/endpoints.py、およびlitellm/proxy/litellm_pre_call_utils.pyにおけるリクエスト検証は不完全なチェックを使用しており、すべての機密パラメータをカバーしておらず、ネストされたリクエストフィールド、パス値、ブラケット表記のフォームデータ内の同等の値も検査していませんでした。したがって、api_base、base_url、model_list、fallbacks、litellm_credential_nameなどのルーティングおよび資格情報パラメータは、オペレータが保存したキーをクリアすることなく適用可能となり、アップストリームプロバイダの資格情報や他の設定されたシークレットが露出するとともに、プロキシから到達可能な内部サービスへのサーバーサイドリクエストが可能になりました。この問題はバージョン1.88.6および1.96.2で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.