CVE-2026-42208

La vulnerabilidad es una inyección SQL en el proxy LiteLLM, presente desde 1.81.16 antes de 1.83.7. Durante la comprobación de la clave de API del proxy, una consulta de base de datos concatenaba el valor de la clave suministrado por el llamante en el texto de la consulta en lugar de vincularlo como un parámetro separado. Un atacante no autenticado envía un encabezado Authorization elaborado a cualquier ruta de API de LLM, como POST /chat/completions, y el valor alcanza la consulta vulnerable a través de la vía de manejo de errores del proxy. Desde ahí, el atacante puede leer de la base de datos del proxy y podría ser capaz de modificarla, exponiendo el proxy y las credenciales que almacena.

LiteLLM es un AI gateway que da acceso a múltiples proveedores de LLM, así que su base de datos es precisamente donde residen las claves de API de los proveedores upstream, las claves virtuales y los datos de uso; leerla o alterarla le entrega al atacante las credenciales que la puerta de enlace existe para gestionar y, potencialmente, el control sobre el acceso a los modelos que están detrás. Como el disparador es un encabezado no autenticado en rutas de API ordinarias, cualquier proxy accesible desde internet está expuesto. Actualice a 1.83.7 o posterior y, dada la exposición de credenciales, rote las claves de API de los proveedores y las claves virtuales que alberga el proxy y revise su base de datos y registros en busca de manipulación.