Check Point Research (CPR) har nyligen identifierat två betydande säkerhetsbrister i LiteLLM, en öppen källkods AI-gateway som spelar en viktig roll för att integrera applikationer med AI-tjänster från leverantörer som OpenAI, Google och Anthropic. LiteLLM hanterar ungefär 100 miljoner nedladdningar per månad och har över 59 000 GitHub-stjärnor, enligt CPR.

Forskarna testade LiteLLM version 1.77.7 och upptäckte fel som tillåter inloggade användare med begränsade rättigheter att få tillgång till känsliga filer, ta över administratörskonton, utföra skadlig kod och stjäla AI-leverantörs API-nycklar.

Den mest allvarliga sårbarheten, CVE-2026-35029, involverar en brist på behörighetskontroll på endpointen /config/update, som hanterar gatewayens runtime-konfiguration. Ett fel i hur UI-token auktoriserades tillät låg-privilegerade användare att modifiera inställningar reserverade för administratörer. Genom att ändra miljövariabler kunde en angripare utnyttja samma fel på flera sätt.

• Filutvinning: En angripare kunde injicera anpassade variabler i os.environ genom parameteren environment_variables för att ändra UI_LOGO_PATH. En begäran till /get_image-endpointen returnerade därefter känsliga interna filer, inklusive systemhemligheter.
• Administratörsupptag: Genom att ändra UI_USERNAME och UI_PASSWORD-miljövariabler överskrevs proxy-inloggningsuppgifterna. En angripare kunde då logga in via /login-routen och få full PROXY_ADMIN-kontroll och ta över det standardkonto.
• Avancerad kodexekvering (RCE): Felanvändningen kunde även leda till avancerad kodexekvering. LiteLLM stöder anpassade pass-through-endpoints som laddar Python-moduler från molnlagring. En angripare kunde konfigurera ett endpoint för att ladda en skadlig modul från Amazon S3 eller Google Cloud Storage, vilket fångade dess kod att köra på gateway-servern.

Dessa angripareter kunde ge en angripare tillgång till känslig konfigurationsdata, leverantörscreditioner och systemet som kör LiteLLM. SSRF-fel exponerade även AI-leverantörs API-nycklar. Den andra sårbarheten, CVE-2026-59823, involverade Server-Side Request Forgery (SSRF) inuti systemets "Clientside LLM Credentials”-funktion. Check Point Research fann att /chat/completions-endpointen accepterade en user_config-parameter som tillät inloggade användare att tillhandahålla sina egna routningsinställningar utan lämplig validering. En angripare kunde då använda denna parameter för att skicka AI-förfrågningar till en server de kontrollerade istället för den avsedda leverantören, inklusive API-nycklar lagrade i gatewayens standardrubriker, vilket tillät angriparen att fånga in kreditioner de inte borde ha tillgång till.

Forskarna rapporterade även exponerade lösenords-hashar och svaga lösenordshanteringsmetoder som gjorde hasharna lättare att krossa. Check Point noterade att dessa fynd var förknippade med GitHub Security Advisory GHSA-69×8-hrgq-fjj8.

Detta upptäckter lägger till en utmanande årets säkerhetsrapport för LiteLLM, som kom några månader efter en separat mars 2026 supply-chain-attack där hotgrupp TeamPCP publicerade skadliga paketversioner (1.82.7 och 1.82.8) till PyPI. Båda sårbarheterna är åtgärdade i LiteLLM version 1.83.9 och senare. Organisationer som använder äldre versioner bör uppgradera och granska åtkomsten till sina gateways. Om obehörig åtkomst misstänks, överväg att rotera berörda AI-leverantörs API-nycklar.

LiteLLM-fynderna belyser bredare säkerhetsproblem runt AI-infrastruktur. Li Zhao, Principal Strategic Services Consultant vid Black Duck, sa till Hackread.com att sårbarheterna visar varför AI-säkerhet måste gå utöver modeller och prompts. "Dessa är välkända applikationssäkerhetsfel, men när de uppstår i AI-infrastruktur kan deras inverkan förstärkas avsevärt", sa Zhao. "Vad som gör dessa sårbarhets mycket betydelsefullt är rollen som LLM-gateways nu spelar i affärsmiljöer. De tjänar ofta som centrala förtroendesambassadörer mellan applikationer och AI-leverantörer, hanterar API-inloggningsuppgifter, begäranruting, policygenomslag, användningsspårning och åtkomstkontroller". Boris Cipot, Principal Security Engineer vid Black Duck, delade också sina synpunkter, varnade för att angripare kan hitta det lättare att rikta in sig på mjukvaran som kopplar organisationer till AI-leverantörer än själva leverantörerna. "Detta visar också att angripare inte behöver bryta sig in i OpenAI, Anthropic eller Google direkt. Det kan vara lättare att rikta in sig på det betrodda programmet som sitter mellan dessa leverantörer och deras kunder", sa Cipot. ”Risken görs svårare att hantera eftersom LiteLLM kan vara inbäddat i andra AI-plattformar och interna verktyg, vilket innebär att vissa organisationer kanske inte ens är medvetna om att de använder det.”