آسیب‌پذیری CVE-2026-42271 در LiteLLM در حال بهره‌برداری فعال، منجر به اجرای کد از راه دور بدون احراز هویت

آژانس امنیت سایبری و زیرساخت آمریکا (CISA) یک آسیب‌پذیری با شدت بالا در نرم‌افزار BerriAI LiteLLM را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری (KEV) خود افزود. این آسیب‌پذیری با شناسه CVE-2026-42271 و امتیاز CVSS برابر با ۸.۷، از نوع تزریق دستور (command injection) است و به هر کاربر احراز هویت‌شده‌ای اجازه می‌دهد دستورات دلخواه را روی سرور میزبان اجرا کند. این نقص نسخه‌های ۱.۷۴.۲ تا پیش از ۱.۸۳.۷ بسته پایتون LiteLLM را تحت تأثیر قرار می‌دهد و در نسخه ۱.۸۳.۷ با محدود کردن دسترسی به نقاط پایانی آسیب‌پذیر به نقش PROXY_ADMIN وصله‌گذاری شده است.

شرکت Horizon3.ai هشدار داده که این آسیب‌پذیری می‌تواند با CVE-2026-48710 (امتیاز CVSS: ۶.۵)، یک نقص دور زدن اعتبارسنجی هدر Host در فریم‌ورک Starlette، زنجیر شود تا احراز هویت را به‌طور کامل دور زده و اجرای کد از راه دور بدون نیاز به هیچ اعتباری (unauthenticated remote code execution) را ممکن سازد. این زنجیره ترکیبی دارای امتیاز CVSS برابر با ۱۰.۰ است و بهره‌برداری موفق از آن می‌تواند به مهاجمان امکان دسترسی به کلیدهای API، اعتبارنامه‌های مدل‌های هوش مصنوعی و حرکت جانبی (lateral movement) در زیرساخت‌های متصل را بدهد. به کاربران توصیه می‌شود LiteLLM را به نسخه ۱.۸۳.۷ یا بالاتر و Starlette را به نسخه ۱.۰.۱ یا بالاتر به‌روزرسانی کنند.