LiteLLM 存在 SQL 注入漏洞，无需凭证即可读取 API 密钥（影响版本：>= 1.81.16, < 1.83.7）

问题描述：

废话少说：litellm又爆了

https://mp.weixin.qq.com/s/ytNWdqGECo0fmWwPQGqy8A

摘要

LiteLLM 是一个大模型统一接口库，其 Proxy 组件被发现存在 SQL 注入漏洞（CVE-2026-42208）。攻击者无需任何有效凭证，通过构造 Bearer token 即可在认证失败的错误日志中注入 payload，从而未授权读取数据库内保存的各厂商大模型 API 密钥。公网暴露的实例风险极高。官方已在 v1.83.7-stable 中修复，同时建议用户升级后修改所有已存密钥，或设置 disable_error_logs: true 关闭错误日志。微步情报局于 2026 年 4 月 28 日收录该漏洞，并已向订阅用户推送情报，旗下 TDP 产品支持检测。

• LiteLLM has SQL Injection in Proxy API key verification · GHSA-r75f-5x8p-qvmc · GitHub Advisory Database · GitHub
• CVE-2026-42208<!-- --> | Tenable®
• CVE-2026-42208: Targeted SQL injection against LiteLLM's authentication path discovered 36 hours following vulnerability disclosure | Sysdig

网友解答：

---

--【壹】--：

废话少说：litellm又爆了

https://mp.weixin.qq.com/s/ytNWdqGECo0fmWwPQGqy8A

摘要

LiteLLM 是一个大模型统一接口库，其 Proxy 组件被发现存在 SQL 注入漏洞（CVE-2026-42208）。