CVE-2026-47102

ملخص

تتيح LiteLLM قبل الإصدار 1.83.10 للمستخدم تعديل user_role الخاص به عبر نقطة النهاية /user/update. في حين أن نقطة النهاية تقيّد المستخدمين بشكل صحيح بتحديث حسابهم الخاص فقط، إلا أنها لا تقيّد الحقول التي يمكن تغييرها. يمكن للمستخدم الذي يمكنه الوصول إلى نقطة النهاية هذه تعيين دوره إلى proxy_admin، والحصول على وصول إداري كامل إلى LiteLLM بما في ذلك جميع المستخدمين والفرق والمفاتيح والنماذج وسجل المطالبات. يتمتع المستخدمون الذين لديهم دور org_admin بوصول مشروع إلى نقطة النهاية هذه ويمكنهم استغلال هذه الثغرة دون الحاجة إلى استغلال أي عيب إضافي.

• CVE-2026-47102-PoCPoC

  الكود الخاص بإعادة إنتاج الثغرة المقابلة شخصيًا