LiteLLM: Mehrere Schwachstellen
WID-SEC-2026-1288 · première publication 28.04.2026 · mise à jour 26.06.2026 · CVSS 9,9
De quoi il s’agit
LiteLLM ist ein Gateway, das eine einheitliche Schnittstelle für verschiedene Large Language Models (LLMs) bietet. Ein Angreifer kann mehrere Schwachstellen in LiteLLM ausnutzen, um einen SQL-Injection-Angriff durchzuführen und sich unbefugten Zugriff zu verschaffen oder um beliebigen Programmcode mit den Rechten des Dienstes auszuführen
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen SQL-Injection-Angriff durchzuführen
- sich unbefugten Zugriff zu verschaffen oder um beliebigen Programmcode mit den Rechten des Dienstes auszuführen
Suis-je concerné ?
Concernés selon le BSI :
- Red Hat Enterprise Linux
- Open Source LiteLLM >=1.81.16
- Open Source LiteLLM <1.83.7
- Open Source LiteLLM >=1.74.2
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source LiteLLM >=1.81.16
- Open Source LiteLLM 1.83.7
- Open Source LiteLLM >=1.74.2
La faille est-elle déjà exploitée ?
- CVE-2026-42271: exploitée dans la nature selon la CISA, au catalogue depuis le 08.06.2026.
- CVE-2026-42208: exploitée dans la nature selon la CISA, au catalogue depuis le 08.05.2026.
Informations et sources
- Avis original du BSI (WID)
- GitHub Vulnerability Database vom 2026-04-27 github.com
- Sysdig Blog vom 2026-04-27 webflow.sysdig.com
- GitHub Vulnerability Database vom 2026-04-27 github.com
- Exploit CVE-2026-42271 vom 2026-06-08 www.cisa.gov
- Red Hat Security Advisory RHSA-2026:27784 vom 2026-06-22 access.redhat.com
- Red Hat Security Advisory RHSA-2026:30056 vom 2026-06-25 access.redhat.com
CVE: CVE-2026-42208, CVE-2026-42271
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.