Litellm · Litellm · CVE-2026-47101
**Nome do Software Vulnerável e Versões Afetadas**
LiteLLM versões anteriores a 1.83.14
**Descrição**
Um `internal user` autenticado pode criar chaves de API com acesso a rotas não permitidas por sua função. Isso ocorre porque o campo `allowed routes` é armazenado durante a geração da chave sem verificar se as rotas especificadas estão alinhadas com as permissões do usuário. Ao criar uma chave com acesso a rotas exclusivas de administrador, um usuário pode ignorar os controles de acesso baseados em função (RBAC)—um mecanismo que restringe o acesso ao sistema a usuários autorizados—resultando em escalonamento total de privilégios de `internal user` para `proxy admin`.
**Recomendações**
Atualize para a versão 1.83.14 ou posterior.