Covered by FixVibecritical

LiteLLM SQL Injection in Proxy API Key Verification (CVE-2026-42208) ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG1 As versións de LiteLLM 1.81.16 a 1.83.6 son vulnerables a unha inxección de SQL crítica na verificación de chave Proxy API (CVE-2026-42208). Corrixido en 1.83.7. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG2 As versións de LiteLLM 1.81.16 a 1.83.6 conteñen unha vulnerabilidade crítica de inxección de SQL na lóxica de verificación de chave do proxy CVE-2026-42208. Esta falla permite aos atacantes non autenticados eludir os controis de autenticación ou acceder á base de datos subxacente. O problema resolveuse na versión 1.83.7. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG3 ## Impacto ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG4 LiteLLM contén unha vulnerabilidade crítica de inxección de SQL no seu proceso de verificación de chave proxy ZXCVFIXVIBETOKEN3ZXCV CVE-2026-42208. Este fallo permite que os atacantes non autenticados eludan as comprobacións de seguranza e poidan acceder ou extraer datos da base de datos subxacente APIZXCVFIXVIBETOKEN2ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG5 ## Causa raíz ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG6 O problema identifícase como ZXCVFIXVIBETOKEN3ZXCV (inxección SQL) CVE-2026-42208. Atópase na lóxica de verificación da chave ZXCVFIXVIBETOKEN4ZXCV do compoñente proxy LiteLLM API. A vulnerabilidade deriva da desinfección insuficiente da entrada utilizada nas consultas de bases de datos ZXCVFIXVIBETOKEN2ZXCV. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG7 ## Versións afectadas ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG8 As versións de LiteLLM 1.81.16 a 1.83.6 están afectadas por esta vulnerabilidade CVE-2026-42208. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG9 ## Correccións concretas ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG10 Actualiza LiteLLM á versión 1.83.7 ou superior para mitigar esta vulnerabilidade CVE-2026-42208. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG11 ## Como proba CVE-2026-42208 para iso ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG12 ZXCVFIXVIBETOKEN5ZXCV agora inclúe isto nas exploracións de repo ZXCVFIXVIBETOKEN6ZXCV. A comprobación le só os ficheiros de dependencia do repositorio autorizados, incluídos CVE-2026-42208, API, ZXCVFIXVIBETOKEN2ZXCV e ZXCVFIXVIBETOKEN3ZXCV. Marca os pins LiteLLM ou as restricións de versión que coincidan co intervalo afectado ZXCVFIXVIBETOKEN4ZXCV e, a continuación, informa do ficheiro de dependencia, o número de liña, os ID de asesoramento, o intervalo afectado e a versión fixa. ZXCVFIXVIBESEXEEND ZXCVFIXVIBESEG13 Esta é unha comprobación de repositorio estática de só lectura. Non executa código de cliente e non envía cargas útiles de explotación.

LiteLLM versions 1.81.16 through 1.83.6 contain a critical SQL injection vulnerability in the Proxy API key verification logic. This flaw allows unauthenticated attackers to bypass authentication controls or access the underlying database. The issue is resolved in version 1.83.7.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Impact

LiteLLM contains a critical SQL injection vulnerability in its Proxy API key verification process [S1]. This flaw allows unauthenticated attackers to bypass security checks and potentially access or exfiltrate data from the underlying database [S1][S3].

Root Cause

The issue is identified as CWE-89 (SQL Injection) [S1]. It is located in the API key verification logic of the LiteLLM Proxy component [S2]. The vulnerability stems from insufficient sanitization of input used in database queries [S1].

Affected Versions

LiteLLM versions 1.81.16 through 1.83.6 are affected by this vulnerability [S1].

Concrete Fixes

Update LiteLLM to version 1.83.7 or higher to mitigate this vulnerability [S1].

How FixVibe tests for it

FixVibe now includes this in GitHub repo scans. The check reads authorized repository dependency files only, including requirements.txt, pyproject.toml, poetry.lock, and Pipfile.lock. It flags LiteLLM pins or version constraints that match the affected range >=1.81.16 <1.83.7, then reports the dependency file, line number, advisory IDs, affected range, and fixed version.

This is a static, read-only repo check. It does not execute customer code and does not send exploit payloads.