CVE-2026-42271highbajo ataqueCWE-77CWE-78

CVE-2026-42271: fallo de gravedad alta en BerriAI litellm

LiteLLM: Authenticated command execution via MCP stdio test endpoints

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear litellm+ Monitorear litellm

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.7epss 91%
de la publicación al arma12 días
Publicada en NVD8 may
1ª PoC+12d
metasploit21 abr
CISA KEV+31d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Corregido
3 productos (8 componentes)
Red Hat OpenShift AI 3.4 · Red Hat OpenShift AI 2.25 · Red Hat OpenShift AI 3.3
corrección ↗
No afectado
6 productos (19 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift AI 2.25 · Red Hat OpenShift AI 3.3 · Red Hat OpenShift AI 3.4 · Red Hat Ansible Automation Platform 2 · Exploit Intelligence · y otros 1
Acción exigida por CISAplazo federal: 2026-06-22

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

El servidor proxy LiteLLM tenía dos endpoints de prueba que permitían a usuarios autenticados ejecutar comandos arbitrarios en el host proporcionando una configuración maliciosa de MCP. Cualquier usuario con una clave de API válida, incluso con bajos privilegios, podía explotar esto para ejecutar código con los privilegios del proxy.

Detalle técnico

Vulnerabilidad de inyección de comandos (CWE-77/CWE-78) en los endpoints POST /mcp-rest/test/connection y POST /mcp-rest/test/tools/list (versiones 1.74.2–1.83.6). Los atacantes con claves de API válidas podían proporcionar comandos arbitrarios en la configuración de transporte stdio (campos command, args, env), que se ejecutaban como subprocesos sin control de acceso basado en roles, resultando en ejecución de código en el host proxy.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. From version 1.74.2 to before version 1.83.7, two endpoints used to preview an MCP server before saving it — POST /mcp-rest/test/connection and POST /mcp-rest/test/tools/list — accepted a full server configuration in the request body, including the command, args, and env fields used by the stdio transport. When called with a stdio configuration, the endpoints attempted to connect, which spawned the supplied command as a subprocess on the proxy host with the privileges of the proxy process. The endpoints were gated only by a valid proxy API key, with no role check. Any authenticated user — including holders of low-privilege internal-user keys — could therefore run arbitrary commands on the host. This issue has been patched in version 1.83.7.
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:N/SA:N
Productos afectados
BerriAI · litellm
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — BerriAI litellm

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-42208CRITICALLiteLLM: SQL injection in Proxy API key verificationEPSS 89.4%KEVCVE-2026-59822HIGHLiteLLM: MCP Authentication Bypass via OAuth2 Passthrough FallbackEPSS 0.8%KEVCVE-2026-35029HIGHLiteLLM affected by privilege escalation via unrestricted proxy configuration endpointEPSS 38.6%CVE-2026-49468CRITICALLiteLLM: Authentication Bypass via Host Header InjectionEPSS 3.0%CVE-2026-47101HIGHLiteLLM < 1.83.14 Privilege Escalation via API Key GenerationEPSS 1.2%CVE-2026-12773MEDIUMBerriAI litellm MCP Proxy user_api_key_auth_mcp.py UserAPIKeyAuth improper authenticationEPSS 1.0%