Résumé
généré automatiquement à partir des données NVDLiteLLM, proxy server (AI Gateway) pour appeler des API LLM, présente dans les versions 1.81.16 jusqu'avant 1.83.7 une injection SQL (CWE-89) : la valeur de la clé fournie par l'appelant est insérée dans le texte de la requête lors de la vérification des clés API. Un attaquant non authentifié peut envoyer un en-tête Authorization forgé vers une route comme POST /chat/completions pour lire, voire modifier, la base du proxy et accéder aux identifiants qu'il gère. La faille est listée au catalogue CISA KEV (ajoutée le 2026-05-08) et notée 9.8 (CRITICAL, CVSS v3.1). La description NVD indique qu'elle est corrigée dans la version 1.83.7.
Description NVD (anglais)
LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. From version 1.81.16 to before version 1.83.7, a database query used during proxy API key checks mixed the caller-supplied key value into the query text instead of passing it as a separate parameter. An unauthenticated attacker could send a specially crafted Authorization header to any LLM API route (for example POST /chat/completions) and reach this query through the proxy's error-handling path. An attacker could read data from the proxy's database and may be able to modify it, leading to unauthorised access to the proxy and the credentials it manages. This issue has been patched in version 1.83.7.
⚠️ Activement exploitée — CISA KEV
Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2026-05-08. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.
Échéance de remédiation (agences fédérales US): 2026-05-11
EPSS · FIRST.org
5,8 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 92 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 8 mai 2026
- Mis à jour
- 15 juil. 2026
- Statut
- Analyzed
- Source
- security-advisories@github.com
Produits affectés
Faiblesses (CWE)
Références (6)
- https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stableProductRelease Notes
- https://github.com/BerriAI/litellm/security/advisories/GHSA-r75f-5x8p-qvmcMitigationPatchVendor Advisory
- https://access.redhat.com/security/cve/CVE-2026-42208Third Party Advisory
- https://bugzilla.redhat.com/show_bug.cgi?id=2463965MitigationThird Party Advisory
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-42208.jsonThird Party Advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42208US Government Resource
CVEs similaires
Autres vulnérabilités de type CWE-89
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.