BerriAI LiteLLM

LiteLLM ist ein Proxy-Server (AI Gateway) zum Aufruf von LLM-APIs. In Versionen vor 1.83.0 verwendet der OIDC-userinfo-Cache bei aktivierter JWT-Authentifizierung laut NVD die ersten 20 Zeichen des Tokens als Cache-Schlüssel. Da vom selben Signaturalgorithmus erzeugte JWT-Header identische erste 20 Zeichen haben, kann ein nicht authentifizierter Angreifer ein Token erstellen, dessen erste 20 Zeichen mit dem zwischengespeicherten Token eines legitimen Benutzers übereinstimmen, und bei einem Cache-Treffer dessen Identität und Berechtigungen übernehmen. Die Option ist nicht standardmässig aktiv; betroffen sind nur Deployments mit aktivierter JWT/OIDC-Authentifizierung. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf LiteLLM 1.83.0 oder neuer aktualisieren.

In LiteLLM 1.18.10 besteht eine Schwachstelle zur Remote-Code-Ausführung in der Funktion zum Anlegen von MCP-Servern. Anwender können MCP-Server über eine JSON-Konfiguration hinzufügen, die das Ausführen beliebiger Befehle ermöglicht. CVSS-Basiswert: 9.8 (Kritisch).

BerriAI/litellm in Version v1.35.8 enthält eine Schwachstelle, die Remotecodeausführung ermöglicht. Die Funktion add_deployment dekodiert und entschlüsselt Umgebungsvariablen aus Base64 und weist sie os.environ zu; ein Angreifer kann über eine bösartige Anfrage an den Endpunkt /config/update Code ausführen lassen, sobald get_secret ausgelöst wird. Voraussetzung ist die Nutzung von Google KMS und einer Datenbank. CVSS-Basiswert: 9.8 (Kritisch).

BerriAI/litellm ist über den Endpunkt /completions anfällig für eine Server-Side Template Injection. Die Methode hf_chat_template verarbeitet den Parameter chat_template aus der Datei tokenizer_config.json ohne ausreichende Bereinigung durch die Jinja-Template-Engine, sodass Angreifer mit praeparierten Dateien beliebigen Code auf dem Server ausführen können. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

In LiteLLM, einem Proxy-Server (AI Gateway) für LLM-APIs, erzwingt der Endpoint /config/update vor Version 1.83.0 keine Prüfung der Administratorrolle. Ein bereits angemeldeter Benutzer kann darüber die Proxy-Konfiguration und Umgebungsvariablen ändern, eigene Pass-Through-Endpunkte auf angreiferkontrollierten Python-Code registrieren und so Remote-Codeausführung erreichen, beliebige Serverdateien auslesen sowie privilegierte Konten übernehmen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 26.4 %. Empfohlene Massnahme: auf LiteLLM v1.83.0 aktualisieren.

LiteLLM bis einschliesslich 2026-04-08 erlaubt entfernten Angreifern die Ausführung beliebigen Codes über Bytecode-Rewriting an der URI /guardrails/test_custom_code. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 6.5 %.

LiteLLM vor Version 1.83.14 erlaubt laut NVD einem authentifizierten internal_user, API-Schlüssel mit Zugriff auf Routen zu erstellen, die seine Rolle nicht zulässt. Ursache ist, dass das Feld allowed_routes beim Erzeugen eines Schlüssels ohne die nötige Prüfung gespeichert wird. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf LiteLLM 1.83.14 oder neuer aktualisieren.

LiteLLM vor Version 1.83.10 erlaubt es einem Nutzer, über den Endpunkt /user/update die eigene Rolle (user_role) zu verändern. Zwar beschränkt der Endpunkt die Nutzer korrekt auf das eigene Konto, er unterbindet die Änderung der Rolle jedoch nicht. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Version 1.83.10 oder neuer aktualisieren.

In BerriAI litellm bis Version 1.59.8 besteht eine Schwäche in der Funktion UserAPIKeyAuth der Datei user_api_key_auth_mcp.py innerhalb der Komponente MCP Proxy. Eine Manipulation kann zu fehlerhafter Authentifizierung führen und lässt sich aus der Ferne ausnutzen. Ein Exploit wurde öffentlich verfügbar gemacht und könnte für Angriffe genutzt werden; der Hersteller wurde frühzeitig informiert. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Im LiteLLM Proxy (AI Gateway) nahm der Endpunkt POST /prompts/test benutzerseitig bereitgestellte Prompt-Templates entgegen und verarbeitete sie ohne Sandboxing. Ein präpariertes Template konnte beliebigen Code im Prozess des LiteLLM Proxy ausführen; da der Endpunkt nur einen gültigen Proxy-API-Schlüssel prüft, konnte jeder authentifizierte Nutzer ihn erreichen und dabei Secrets aus der Prozessumgebung offenlegen oder Befehle auf dem Host ausführen. Betroffen sind die Versionen ab 1.80.5 bis vor 1.83.7. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf LiteLLM 1.83.7 oder neuer.

In LiteLLM vor Version 1.82.0-stable wenden die Produktions-Endpunkte zum Erstellen und Aktualisieren von Custom Code Guardrails nicht dieselbe Sandbox- und Validierungsprüfung an wie der Test-Endpunkt. Ein privilegierter Benutzer mit Zugriff auf das Erstellen oder Aktualisieren von Guardrails kann dadurch eigenen Python-Code einschleusen, der in der LiteLLM-Proxy-Umgebung ausgeführt wird und dem Prozess zugängliche Secrets offenlegen kann. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 1.82.0-stable.

In BerriAI litellm bis Version 1.82.2 wurde eine Schwachstelle in der Funktion json.dumps der Datei litellm/proxy/management_endpoints/ui_sso.py der Komponente SSO Debug Flow festgestellt. Eine Manipulation kann zu fehlender Authentifizierung führen. Der Angriff kann remote ausgeführt werden, der Exploit wurde öffentlich bekannt gemacht und könnte bereits genutzt werden. Der Hersteller wurde frühzeitig über die Offenlegung informiert. CVSS-Basiswert: 7.3 (Hoch).

BerriAI/litellm in Version 1.40.12 enthält eine Schwachstelle, die eine Remote Code Execution ermöglicht. Über die Konfiguration post_call_rules lässt sich eine Callback-Funktion hinterlegen; der übergebene Wert wird am letzten Punkt getrennt und der hintere Teil als Funktionsname importiert. Dadurch kann ein Angreifer eine Systemmethode wie os.system als Callback setzen und beliebige Befehle ausführen, sobald eine Chat-Antwort verarbeitet wird. Der CVSS-Basiswert liegt bei 8.8 (Hoch).

In berriai/litellm Version v1.44.5 besteht eine Denial-of-Service-Schwachstelle: Durch Anhängen von Zeichen wie Bindestrichen an das Ende einer Multipart-Boundary in einer HTTP-Anfrage verarbeitet der Server jedes Zeichen fortlaufend, was zu übermässigem Ressourcenverbrauch führt und den Dienst unerreichbar macht. Die Schwachstelle ist unauthentifiziert ausnutzbar und erfordert keine Nutzerinteraktion, wodurch alle Nutzer des Dienstes betroffen sind. CVSS-Basiswert: 7.5 (Hoch).

In berriai/litellm vor Version 1.44.12 maskiert der Code in litellm/litellm_core_utils/litellm_logging.py nur die ersten 5 Zeichen eines API-Schlüssels. Dadurch wird nahezu der gesamte API-Schlüssel in den Logs offengelegt, was einen erheblichen Teil des geheimen Schlüssels preisgibt. Betroffen ist Version v1.44.9. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 1.44.12 oder neuer aktualisieren.

In berriai/litellm Version v1.52.1 verursacht ein Fehler in proxy_server.py beim Parsen der Team-Einstellungen das Auslaufen von Langfuse-API-Schlüsseln. Dabei werden unter anderem langfuse_secret und langfuse_public_key offengelegt, die vollen Zugriff auf das im Langfuse-Projekt gespeicherte Request-Protokoll ermöglichen. CVSS-Basiswert: 7.5 (Hoch).

In berriai/litellm Version 1.38.10 erlaubt eine Server-Side-Request-Forgery (SSRF) über den Parameter api_base bei Anfragen an POST /chat/completions, dass Anfragen inklusive des OpenAI-API-Keys an eine vom Angreifer kontrollierte Domain umgeleitet werden. Ein boeswilliger Nutzer kann den api_base-Parameter auf die eigene Domain setzen, den API-Key abfangen und missbraeuchlich verwenden. CVSS-Basiswert: 7.5 (Hoch). Kein EPSS-Wert in den Quelldaten vorhanden.

BerriAI litellm ist aufgrund unzureichender Eingabevalidierung am Endpunkt /audio/transcriptions anfällig für das Löschen beliebiger Dateien. Ein Angreifer kann durch eine speziell präparierte Anfrage mit einem Dateipfad kritische Dateien auf dem Server löschen, da os.remove ohne Autorisierung oder Validierung aufgerufen wird. CVSS-Basiswert: 8.1 (Hoch).

In der Anwendung berriai/litellm Version 1.34.6 besteht eine Code-Injection-Schwachstelle durch nicht validierte Eingaben in der eval-Funktion des Secret-Management-Systems, die eine gültige Google-KMS-Konfiguration voraussetzt. Über die Variable UI_LOGO_PATH in der Funktion get_image kann ein Angreifer eine bösartige Google-KMS-Konfigurationsdatei als cached_logo.jpg schreiben und anschliessend über die Umgebungsvariable SAVE_CONFIG_TO_DB beliebigen Code ausführen, was zur vollständigen Kompromittierung des Systems führen kann. Die Schwachstelle ist an die Nutzung der Google-KMS-Funktion gebunden. CVSS-Basiswert: 7.2 (Hoch).

Im berriai/litellm-Repository besteht eine SQL-Injection-Schwachstelle im Endpunkt /global/spend/logs. Die betroffene Code-Stelle verkettet den unvalidierten Parameter api_key direkt in die SQL-Abfrage, wodurch bösartige Werte im Parameter zu SQL Injection führen können. Eine erfolgreiche Ausnutzung kann zu unautorisiertem Zugriff, Datenmanipulation, Offenlegung vertraulicher Informationen und Denial of Service führen. CVSS-Basiswert: 7.2 (Hoch).