LiteLLM GHSA-g5ff-637f-6q2m: una cuenta de visualizador puede leer archivos del proxy, actualiza a 1.95.0

Nuestro veredicto sobre LiteLLM se mantiene en Condicional. Sigue siendo la opción gratuita por defecto más sólida para unificar muchos proveedores bajo una única API con formato OpenAI, pero este aviso muestra que la condición es real: una cuenta de nivel visualizador en un proxy sin parchear puede leer los archivos que guardan tus claves. Actualiza a 1.95.0 o posterior ahora.

Qué pasó

El aviso de seguridad de GitHub de LiteLLM GHSA-g5ff-637f-6q2m, publicado el 1 de octubre de 2026, asigna al fallo una severidad Alta con una puntuación CVSS de 8,1. No se ha asignado ningún CVE. Releímos la página del aviso el 27 de octubre de 2026.

• Quién puede explotarla: un usuario autenticado que solo posee el rol internal_user_viewer.
• Dónde: el endpoint /utils/transform_request.
• Causa raíz: la lista de bloqueo del cuerpo de la solicitud rechazaba vertex_credentials pero omitió su alias, vertex_ai_credentials, lo que permitió que el valor llegara al cargador de credenciales de Vertex AI.
• Impacto: el atacante puede leer cualquier archivo legible por el proceso de LiteLLM. Los archivos de entorno pueden exponer LITELLM_MASTER_KEY y las claves de API de los proveedores, lo que puede escalar al control administrativo total del proxy.
• Afectadas: versiones anteriores a 1.95.0. Parcheada: 1.95.0.
• Solución alternativa: ninguna. El aviso afirma que no existe una solución alternativa de configuración fiable en las versiones afectadas, y que no se necesita ningún cambio de configuración una vez que actualizas.

Por qué importa

Este es el segundo aviso de LiteLLM en dos días. El 30 de septiembre de 2026, GHSA-7hp6-4w63-5g45 (Crítica, CVSS 9,9) describió una escalada de privilegios hasta administrador del proxy por un internal_user autenticado, causada por reutilizar una misma clave para sellar secretos y para tokens de sesión.

Ambas solo necesitan una cuenta autenticada de bajos privilegios. Tu exposición, por tanto, escala con dos cifras: cuántas personas poseen claves en tu proxy y cuánto tiempo ejecutas una compilación antigua. Una pasarela que se sitúa delante de cada clave de proveedor es el peor lugar para tener un fallo de lectura arbitraria.

Qué cambia para ti

• Actualiza a 1.95.0 o posterior. Eso cierra esta lectura de archivos.
• Revisa también el otro aviso. 1.95.0 por sí sola no cubre GHSA-7hp6-4w63-5g45, que afecta desde 1.91.0 hasta 1.100.4 (además de varias líneas de versiones posteriores). Sus compilaciones parcheadas son 1.100.4, 1.101.3, 1.102.2, 1.103.1 y 1.104.0rc2.
• Rota los secretos si alguna cuenta internal_user_viewer fue compartida o no era de confianza en una compilación afectada: la clave maestra y cada clave de proveedor que el proceso pudiera leer.
• Audita las cuentas internas. Elimina los usuarios internos y de visualizador que no necesiten acceso.
• Fija versiones y parchea en cuestión de días. Esa es la disciplina que asume nuestro veredicto Condicional.

No hemos desplegado LiteLLM nosotros mismos, así que esto es una lectura de los avisos, no una reproducción.