FixVibe
Covered by FixVibecritical

LiteLLM Proxy SQL injekzioa (CVE-2026-42208)

LiteLLMren proxy osagaian SQL injekzio ahultasun kritiko batek (CVE-2026-42208) erasotzaileek autentifikazioa saihestu edo datu-baseko informazio sentikorra atzitzeko aukera ematen die API gakoen egiaztapen-prozesua baliatuz.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Eragina

LiteLLM 1.81.16tik 1.83.7 bitarteko bertsioek SQL injekzio ahultasun kritiko bat daukate proxyaren API gakoen egiaztapen-mekanismoan [S1]. Ustiapen arrakastatsuak autentifikatu gabeko erasotzaile bati segurtasun kontrolak saihesteko edo baimenik gabeko datu-baseko eragiketak egiteko aukera ematen dio [S1]. Ahultasun honi 9,8ko CVSS puntuazioa esleitzen zaio, sistemaren konfidentzialtasunean eta osotasunean duen eragin handia islatuz [S2].

Arrazoia

Ahultasuna existitzen da LiteLLM proxyak ez duelako behar bezala desinfektatu edo parametrizatzen API gakoa Authorization goiburuan datu-baseko kontsulta batean erabili aurretik. Horri esker, goiburuan txertatutako SQL komando gaiztoak exekuta daitezke [S3] backend datu-baseak.

Eragindako bertsioak

  • LiteLLM: 1.81.16 bertsiotik (baina barne) 1.83.7 [S1].

Konponketa konkretuak

  • Eguneratu LiteLLM: berehala eguneratu litellm paketea 1.83.7 bertsiora edo geroago [S1] injekzio-akatsa adabakitzeko.
  • Auditatu datu-basearen erregistroak: [S1] proxy zerbitzutik sortutako ezohiko kontsulta-ereduen edo ustekabeko sintaxiaren berrikusi datu-basearen atzipen-erregistroak.

Detektatzeko Logika

Segurtasun-taldeek esposizioa identifikatu dezakete:

  • Bertsioen azterketa: LiteLLM bertsioen inguruneko manifestuak egiaztatzea kaltetutako barrutian (1.81.16tik 1.83.6) [S1].
  • Goiburuaren jarraipena: LiteLLM proxy-rako sarrerako eskaerak ikuskatzea SQL injekzio ereduetarako bereziki Authorization: Bearer token eremuan [S1].