CVE-2024-6587

SSRF trong berriai/litellm

Một lỗ hổng Server-Side Request Forgery (SSRF) tồn tại trong phiên bản berriai/litellm 1.38.10. Lỗ hổng này cho phép người dùng chỉ định tham số `api_base` khi gửi yêu cầu đến `POST /chat/completions`, khiến ứng dụng gửi yêu cầu đến miền được chỉ định bởi `api_base`. Yêu cầu này bao gồm chìa khóa API OpenAI. Một người dùng độc hại có thể thiết lập `api_base` thành miền của riêng họ và chặn bắt chìa khóa API OpenAI, dẫn đến truy cập không được phép và khả năng sử dụng không chính đáng của chìa khóa API.

CNA cấp mã

@huntr_ai

Ngày công bố

13/09/2024

Cập nhật

13/09/2024

CVSS (NVD)

7.5 · HIGH

Loại lỗi (CWE)

CWE-918