Tag
#pypi
LiteLLM 1.107.0 malveillant vole les identifiants et installe des portes dérobées sur les hôtes
Un acteur malveillant a détourné le pipeline de publication de LiteLLM avec une clé maîtresse divulguée et jamais révoquée, puis publié une version 1.107.0 malveillante sur PyPI et Docker le 21 octobre 2026. Le wheel installe des fichiers de démarrage Python qui volent les identifiants et activent une porte dérobée toutes les heures, même si LiteLLM n’est jamais importé. PyPI a mis la version en quarantaine après 1 heure et 44 minutes ; toute personne l’ayant installée doit reconstruire l’environnement et renouveler tous les secrets accessibles.
25 octobre 2026