Covered by FixVibecritical

ЗКСЦВФИКСВИБЕСЕГ0 ЛитеЛЛМ СКЛ ињекција у проксију ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ Верификација кључа (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ) ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ1 ЛитеЛЛМ верзије од 1.81.16 до 1.83.6 су рањиве на критичну СКЛ ињекцију у верификацији кључа проки ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ (ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ). Поправљено у 1.83.7. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ2 ЛитеЛЛМ верзије од 1.81.16 до 1.83.6 садрже критичну рањивост СКЛ ињекције у логици провере кључа Проки ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Ова мана омогућава нападачима без аутентификације да заобиђу контроле аутентификације или приступе основној бази података. Проблем је решен у верзији 1.83.7. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ3 ## Импацт ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ4 ЛитеЛЛМ садржи критичну рањивост СКЛ ињекције у процесу верификације кључа Проки ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Ова мана омогућава неауторизованим нападачима да заобиђу безбедносне провере и потенцијално приступе или ексфилтрирају податке из основне базе података ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ5 ## Основни узрок ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ6 Проблем је идентификован као ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ (СКЛ ињекција) ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. Налази се у логици верификације кључа ЗКСЦВФИКСВИБЕТОКЕН4ЗКСЦВ ЛитеЛЛМ проки компоненте ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ. Рањивост произилази из недовољне санитације уноса који се користи у упитима базе података ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ7 ## Захваћене верзије ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ8 Верзије ЛитеЛЛМ од 1.81.16 до 1.83.6 су погођене овом рањивошћу ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ9 ## Бетонске поправке ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ10 Ажурирајте ЛитеЛЛМ на верзију 1.83.7 или новију да бисте ублажили ову рањивост ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ11 ## Како ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ тестира за то ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ12 ЗКСЦВФИКСВИБЕТОКЕН5ЗКСЦВ сада укључује ово у ЗКСЦВФИКСВИБЕТОКЕН6ЗКСЦВ репо скенирања. Провера чита само ауторизоване датотеке зависности од спремишта, укључујући ЗКСЦВФИКСВИБЕТОКЕН0ЗКСЦВ, ЗКСЦВФИКСВИБЕТОКЕН1ЗКСЦВ, ЗКСЦВФИКСВИБЕТОКЕН2ЗКСЦВ и ЗКСЦВФИКСВИБЕТОКЕН3ЗКСЦВ. Означава ЛитеЛЛМ пинове или ограничења верзије која се поклапају са погођеним опсегом ЗКСЦВФИКСВИБЕТОКЕН4ЗКСЦВ, а затим пријављује датотеку зависности, број линије, ИД-ове савета, опсег на који утиче и фиксну верзију. ЗКСЦВФИКСВИБЕСЕГЕНД ЗКСЦВФИКСВИБЕСЕГ13 Ово је статична репо провера само за читање. Не извршава кориснички код и не шаље корисна оптерећења.

LiteLLM versions 1.81.16 through 1.83.6 contain a critical SQL injection vulnerability in the Proxy API key verification logic. This flaw allows unauthenticated attackers to bypass authentication controls or access the underlying database. The issue is resolved in version 1.83.7.

CVE-2026-42208GHSA-r75f-5x8p-qvmcCWE-89

Impact

LiteLLM contains a critical SQL injection vulnerability in its Proxy API key verification process [S1]. This flaw allows unauthenticated attackers to bypass security checks and potentially access or exfiltrate data from the underlying database [S1][S3].

Root Cause

The issue is identified as CWE-89 (SQL Injection) [S1]. It is located in the API key verification logic of the LiteLLM Proxy component [S2]. The vulnerability stems from insufficient sanitization of input used in database queries [S1].

Affected Versions

LiteLLM versions 1.81.16 through 1.83.6 are affected by this vulnerability [S1].

Concrete Fixes

Update LiteLLM to version 1.83.7 or higher to mitigate this vulnerability [S1].

How FixVibe tests for it

FixVibe now includes this in GitHub repo scans. The check reads authorized repository dependency files only, including requirements.txt, pyproject.toml, poetry.lock, and Pipfile.lock. It flags LiteLLM pins or version constraints that match the affected range >=1.81.16 <1.83.7, then reports the dependency file, line number, advisory IDs, affected range, and fixed version.

This is a static, read-only repo check. It does not execute customer code and does not send exploit payloads.