Résumé
Contournement d'authentification dans litellm (CVE-2026-12773). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.84.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
A weakness has been identified in BerriAI litellm up to 1.59.8. Affected is the function UserAPIKeyAuth of the file litellm/proxy/_experimental/mcp_server/auth/user_api_key_auth_mcp.py of the component MCP Proxy. Executing a manipulation can lead to improper authentication. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-12773 a été découverte dans litellm.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.3/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « litellm CVE-2026-12773 » sur le site de l'éditeur.
CVE-2026-12773 (litellm) — CWE-287 / CVSS v3 7.3
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
BerriAI litellmのUserAPIKeyAuth関数における不適切な認証。
litellm/proxy/_experimental/mcp_server/auth/user_api_key_auth_mcp.pyのMCP Proxyコンポーネント
リモート攻撃が可能で、不正な認証によりシステムが危険にさらされる可能性がある。
認証処理を見直し、適切なAPIキー検証を実施する。
情報なし
パブリックに利用可能な悪用が存在するため、既存の悪用コードを利用したテストで検出可能。
Paquets affectés
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- package pypi.org
- web gist.github.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web access.redhat.com
- web bugzilla.redhat.com
- web security.access.redhat.com
- web github.com