LiteLLM – Nicht abgeschottete Prompt-Templates ermöglichen Remote Code Execution

Beschreibung

Im LiteLLM Proxy (AI Gateway) nahm der Endpunkt POST /prompts/test benutzerseitig bereitgestellte Prompt-Templates entgegen und verarbeitete sie ohne Sandboxing. Ein präpariertes Template konnte beliebigen Code im Prozess des LiteLLM Proxy ausführen; da der Endpunkt nur einen gültigen Proxy-API-Schlüssel prüft, konnte jeder authentifizierte Nutzer ihn erreichen und dabei Secrets aus der Prozessumgebung offenlegen oder Befehle auf dem Host ausführen. Betroffen sind die Versionen ab 1.80.5 bis vor 1.83.7. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf LiteLLM 1.83.7 oder neuer.

Changelog

1. 2026-07-15 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in BerriAI LiteLLM

• BerriAI LiteLLM – SQL Injection KEV CVE-2026-42208
• Aquasecurity Trivy: Eingebetteter Schadcode KEV CVE-2026-33634
• LiteLLM – Fehlende Autorisierung am Endpoint /config/update CVE-2026-35029
• LiteLLM – Remote Code Execution über die MCP-Server-Konfiguration CVE-2026-30623
• Remotecodeausführung in BerriAI/litellm CVE-2024-5751
• BerriAI litellm: Server-Side Template Injection am /completions-Endpunkt CVE-2024-2952