LiteLLM, il gateway AI usato da migliaia di aziende, bucato con un account a basso privilegio: a rischio chiavi API, prompt e risposte

I ricercatori di Obsidian Security hanno pubblicato il 15 giugno 2026 i dettagli di una catena di tre vulnerabilità in LiteLLM, gateway AI open source che instrada le chiamate verso oltre 100 provider di modelli linguistici dietro un’unica interfaccia compatibile con OpenAI. Concatenando le tre falle, un account predefinito a basso privilegio può scalare fino ai permessi di amministratore completo ed eseguire codice arbitrario sul server. Il punteggio complessivo della catena è CVSS 9.9, nella fascia critica.

Il primo anello, CVE-2026-47101, è un bypass di autorizzazione: quando un utente normale genera una chiave API virtuale, LiteLLM memorizza il campo allowed_routes fornito dal chiamante senza verificarlo rispetto al ruolo effettivo, permettendo a un account non amministratore di creare una chiave con accesso illimitato a tutte le rotte, incluse quelle riservate agli admin. Il secondo anello consiste in una sandbox escape nel Custom Code Guardrail, che esegue codice Python fornito dall’amministratore senza adeguato filtraggio, consentendo l’esecuzione di comandi di sistema e l’apertura di una reverse shell.

Una compromissione completa del server espone ogni chiave API dei provider gestita dal gateway, i segreti usati per decifrare le credenziali memorizzate, e ogni prompt e risposta che transita attraverso l’infrastruttura — un rischio enorme per le aziende che usano LiteLLM come hub centralizzato per i propri agenti AI. Il manutentore BerriAI ha incluso il set completo di correzioni nella versione 1.83.14-stable, già disponibile da inizio maggio. Le organizzazioni che eseguono versioni precedenti devono aggiornare immediatamente.

Fonte: The Hacker News / Obsidian Security – (https://thehackernews.com/2026/06/litellm-vulnerability-chain-lets-low.html)