FixVibe
Covered by FixVibecritical

LiteLLM Proxy SQL Injection (CVE-2026-42208)

Una vulnerabilità critica di l'iniezione SQL (CVE-2026-42208) in u cumpunente proxy di LiteLLM permette à l'attaccanti di scaccià l'autentificazione o accede à l'infurmazioni sensibili di basa di dati sfruttendu u prucessu di verificazione di chjave API.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Impattu

E versioni LiteLLM da 1.81.16 à 1.83.7 cuntenenu una vulnerabilità critica di iniezione SQL in u mecanismu di verificazione di chjave API di u proxy [S1]. U sfruttamentu successu permette à un attaccu micca autenticatu di scaccià i cuntrolli di sicurezza o di fà operazioni di basa di dati micca autorizate [S1]. Questa vulnerabilità hè attribuita un puntuazione CVSS di 9.8, chì riflette u so altu impattu nantu à a cunfidenziale è l'integrità di u sistema [S2].

Causa Root

A vulnerabilità esiste perchè u proxy LiteLLM ùn riesce à sanitizà bè o parametrizà a chjave API furnita in l'intestazione Authorization prima di usà in una dumanda di basa di dati [S1]. Questu permette à i cumandamenti SQL maliziusi incrustati in l'intestazione per esse eseguiti da a basa di dati backend [S3].

Versioni affettate

  • LiteLLM: Versioni 1.81.16 finu à (ma micca inclusi) 1.83.7 [S1].

Correzioni Concrete

  • Update LiteLLM: Aghjurnate immediatamente u pacchettu litellm à a versione 1.83.7 o più tardi per patch u difettu di iniezione [S1].
  • Audit Database Logs: Rivedi i logs d'accessu à a basa di dati per mudelli di dumanda inusual o sintassi inaspettata chì origina da u serviziu proxy [S1].

Logica di rilevazione

E squadre di sicurezza ponu identificà l'esposizione per:

  • Scanning di Versione: Verificate i manifesti di l'ambiente per e versioni LiteLLM in a gamma affettata (1.81.16 à 1.83.6) [S1].
  • Header Monitoring: Inspeccionà e richieste entrate à u proxy LiteLLM per mudelli di iniezione SQL specificamente in u campu di token Authorization: Bearer [S1].