标签
#litellm
恶意 LiteLLM 1.107.0 窃取凭据并在主机植入后门
威胁行为者利用泄露且从未撤销的主密钥劫持 LiteLLM 发布流水线，于 2026 年 10 月 21 日向 PyPI 和 Docker 推送恶意 1.107.0。该 wheel 安装 Python 启动文件，即使从未导入 LiteLLM，也会窃取凭据并开启每小时运行的后门。PyPI 在 1 小时 44 分钟后隔离该版本；任何安装过它的用户都必须重建环境，并轮换所有可触及的密钥。
2026年10月25日
漏洞利用 CVE-2026-42208：LiteLLM 通过 Bearer 令牌实现未授权 SQL 注入
对 CVE-2026-42208 的技术剖析：这是 LiteLLM Proxy API 中一个 CVSS 9.3 的严重未授权 SQL 注入漏洞。用于复杂多表连接的原始 SQL 查询未对 Bea...
2026年5月22日