CVE-2026-114612
Publiée le 2026-10-22 · Dernière modification le 2026-10-23
Les versions 1.87.0 à 1.104.0-rc.2 de LiteLLM (à l'exclusion de certains correctifs spécifiques) sont concernées. Ce logiciel fait office de passerelle proxy qui standardise les appels vers divers modèles d'IA. La faille provient du fait que le proxy utilise le même contexte cryptographique pour les jetons de session et les secrets au repos, permettant ainsi à un utilisateur de tromper le système pour chiffrer des identifiants d'administrateur falsifiés.
Un attaquant disposant d'un accès authentifié de bas niveau peut exploiter cette faille pour obtenir des privilèges d'administration complets sur le proxy. Cela lui permet d'exécuter des commandes arbitraires via le point de terminaison MCP stdio, entraînant une perte totale de confidentialité, d'intégrité et de disponibilité. L'attaque est facile à réaliser via le réseau et ne nécessite aucune interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
Description officielle du NVD (en anglais)
LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. From 1.87.0 until 1.100.4, 1.101.3, 1.102.2, 1.103.1, and 1.104.0-rc.2, the proxy reuses one cryptographic context for at-rest secrets and session tokens, allowing an authenticated internal user to have crafted metadata containing a forged administrator credential encrypted and returned by the API-key flow. Replaying that ciphertext as a bearer token causes the proxy to trust the forged proxy administrator identity, permitting administrative access and arbitrary commands through the MCP stdio endpoint. Versions 1.87.0 through 1.90.x require EXPERIMENTAL_UI_LOGIN to be enabled, while versions after 1.91.0 are exploitable in the default configuration. This issue was fixed in LiteLLM 1.100.4, 1.101.3, 1.102.2, 1.103.1, and 1.104.0-rc.2.