FixVibe
Covered by FixVibecritical

LiteLLM Proxy SQL Injection (CVE-2026-42208)

Vulnerabilità kritika ta' injezzjoni SQL (CVE-2026-42208) fil-komponent proxy ta' LiteLLM tippermetti lill-attakkanti jevitaw l-awtentikazzjoni jew jaċċessaw informazzjoni sensittiva tad-database billi jisfruttaw il-proċess ta' verifika taċ-ċavetta API.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Impatt

Il-verżjonijiet LiteLLM 1.81.16 sa 1.83.7 fihom vulnerabbiltà kritika ta' injezzjoni SQL fi ħdan il-mekkaniżmu ta' verifika taċ-ċavetta API tal-prokura [S1]. L-isfruttament b'suċċess jippermetti lil attakkant mhux awtentikat li jevita l-kontrolli tas-sigurtà jew iwettaq operazzjonijiet ta' database mhux awtorizzati [S1]. Din il-vulnerabbiltà hija assenjata punteġġ CVSS ta' 9.8, li jirrifletti l-impatt għoli tagħha fuq il-kunfidenzjalità u l-integrità tas-sistema [S2].

Kawża Għerq

Il-vulnerabbiltà teżisti minħabba li l-proxy LiteLLM jonqos milli jsanitizza jew jipparametrizza sew iċ-ċavetta API ipprovduta fl-header Authorization qabel ma tużaha f'mistoqsija tad-database [S1]. Dan jippermetti li kmandi SQL malizzjużi inkorporati fl-header jiġu esegwiti mid-database backend [S3].

Verżjonijiet Affettwati

  • LiteLLM: Verżjonijiet 1.81.16 sa (iżda mhux inklużi) 1.83.7 [S1].

Fixs tal-Konkrit

  • Aġġorna LiteLLM: Aġġorna immedjatament il-pakkett litellm għall-verżjoni 1.83.7 jew aktar tard biex tirranġa d-difett tal-injezzjoni [S1].
  • Awditja r-Reġistri tal-Bażi tad-Dejta: Irrevedi r-reġistri tal-aċċess tad-database għal mudelli ta' mistoqsijiet mhux tas-soltu jew sintassi mhux mistennija li joriġinaw mis-servizz ta' prokura [S1].

Loġika ta 'Sejbien

It-timijiet tas-sigurtà jistgħu jidentifikaw l-espożizzjoni billi:

  • Skannjar tal-Verżjoni: Iċċekkjar tal-manifesti tal-ambjent għal verżjonijiet LiteLLM fil-medda affettwata (1.81.16 sa 1.83.6) [S1].
  • Monitoraġġ tal-Header: Spezzjonar ta' talbiet deħlin lill-proxy LiteLLM għal mudelli ta' injezzjoni SQL speċifikament fi ħdan il-qasam tat-tokens Authorization: Bearer [S1].