CVE-2026-47101 in litellm
Tóm tắt
Bởi VulDB • 22/05/2026
LiteLLM trước phiên bản 1.83.14 cho phép một internal_user đã xác thực tạo các khóa API có quyền truy cập vào các tuyến (routes) mà vai trò của họ không được phép. Khi tạo khóa, trường allowed_routes được lưu trữ mà không xác minh xem các tuyến được chỉ định có nằm trong phạm vi quyền hạn của người dùng hay không. Một khóa được tạo với quyền truy cập vào các tuyến chỉ dành cho admin sau đó có thể được sử dụng để truy cập thành công các tuyến đó, vượt qua các kiểm soát truy cập dựa trên vai trò (RBAC) vốn sẽ chặn yêu cầu, cho phép nâng cấp đặc quyền đầy đủ từ internal_user lên proxy_admin.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.