Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
In de LiteLLM-proxy (een AI Gateway voor LLM-API's) wordt de API-sleutel die een aanvrager meestuurt, direct in een databasequery verwerkt in plaats van als aparte parameter. Daardoor kan een aanvaller eigen databasecommando's laten uitvoeren. Dit lek staat sinds mei 2026 op de lijst van actief misbruikte lekken. Een aanvaller hoeft er niet voor in te loggen.
Wie loopt risico?
Je loopt risico als je LiteLLM-versie 1.81.16 tot en met een versie vóór 1.83.7 draait. De aanval werkt via het netwerk en gaat via een speciaal samengestelde Authorization-header naar een LLM-API-route, zoals POST /chat/completions. Een proxy die bereikbaar is vanaf internet loopt het meeste risico. Via de database kan een aanvaller gegevens lezen en mogelijk wijzigen, ook de inloggegevens die de proxy beheert.
Wat moet je doen?
Controleer je versie
Kijk na of je ergens een LiteLLM-proxy draait en welke versie dat is. Versies vanaf 1.81.16 en lager dan 1.83.7 zijn getroffen.
Werk bij naar 1.83.7
Installeer LiteLLM 1.83.7 of nieuwer. In deze versie heeft de leverancier het lek verholpen. Ook voor CVE-2026-42271 geldt hetzelfde advies.
Beperk de bereikbaarheid
Kun je nog niet direct bijwerken, volg dan het advies van de leverancier en zorg dat de proxy niet vanaf internet bereikbaar is. Laat alleen vertrouwde systemen of netwerken toe.
Controleer op misbruik en overweeg sleutels te vervangen
Bekijk de logboeken op vreemde Authorization-headers of onverwachte verzoeken. Omdat de proxy inloggegevens beheert, is het verstandig te overwegen of je API-sleutels en andere opgeslagen gegevens moet vervangen.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-42271. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In LiteLLM van versie 1.81.16 tot vóór 1.83.7 wordt bij de controle van API-sleutels de door de aanvrager meegegeven sleutelwaarde in de querytekst opgenomen, in plaats van als aparte parameter te worden doorgegeven. Een niet-geauthenticeerde aanvaller kan een speciaal opgestelde Authorization-header naar een LLM-API-route sturen, bijvoorbeeld POST /chat/completions. Die header bereikt de kwetsbare query via het foutafhandelingspad van de proxy. Hiermee kan de aanvaller gegevens uit de database van de proxy lezen en mogelijk wijzigen. De CVSS-vector (AV:N/AC:L/PR:N/UI:N) wijst op een aanval via het netwerk zonder inloggegevens of gebruikersinteractie, met grote gevolgen voor vertrouwelijkheid, integriteit en beschikbaarheid. Het lek is verholpen in versie 1.83.7.
CVSS-vector (versie 3.1, basisscore 9,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale tekens in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 89,4%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 8 mei 2026
- Deadline van CISA
- 11 mei 2026
- Gebruikt door ransomwaregroepen
- Niet bekend