PT-2026-42538 · Litellm · Litellm
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do Software Vulnerável e Versões Afetadas
LiteLLM versões anteriores a 1.83.14
Descrição
Um
internal user autenticado pode criar chaves de API com acesso a rotas não permitidas por sua função. Isso ocorre porque o campo allowed routes é armazenado durante a geração da chave sem verificar se as rotas especificadas estão alinhadas com as permissões do usuário. Ao criar uma chave com acesso a rotas exclusivas de administrador, um usuário pode ignorar os controles de acesso baseados em função (RBAC)—um mecanismo que restringe o acesso ao sistema a usuários autorizados—resultando em escalonamento total de privilégios de internal user para proxy admin.Recomendações
Atualize para a versão 1.83.14 ou posterior.
Exploit
Correção
LPE
Incorrect Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Litellm