Dos vulnerabilidades de LiteLLM permitían a usuarios autenticados tomar el control de su gateway o sustraer claves de proveedores de inteligencia artificial. Check Point, que ha publicado los detalles técnicos, indica que ambas están corregidas desde la versión 1.83.9 y recomienda actualizar a esa versión o una posterior.
El análisis se realizó sobre LiteLLM 1.77.7 y afecta al gateway, no al SDK, el kit de desarrollo. Este gateway actúa como intermediario entre las aplicaciones y los proveedores de modelos: puede gestionar credenciales, permisos y las rutas de las peticiones. Por ello, los fallos alcanzaban tanto a la administración del servicio como a las claves que utilizaba para conectarse con los proveedores.
La primera vulnerabilidad, CVE-2026-35029, permitía que una cuenta con pocos privilegios modificase la configuración mediante POST /config/update. Esa función administrativa carecía de la comprobación de rol necesaria. Además, una lista de rutas permitidas de la interfaz aceptaba el prefijo /config, lo que dejaba pasar también las solicitudes dirigidas a /config/update.
Check Point demostró que esa modificación podía utilizarse para leer archivos accesibles al proceso, sustituir las credenciales del administrador y ejecutar código mediante módulos Python cargados desde almacenamiento externo. Los resultados proceden de un entorno controlado; no son incidentes confirmados en organizaciones.
El segundo fallo, CVE-2026-59823, era una falsificación de solicitudes del servidor, conocida como SSRF: permitía provocar que el gateway enviara una petición a un destino elegido por el atacante. También exigía autenticación. El parámetro user_config admitía una ruta hacia un servidor bajo su control y, en la demostración, la petición desviada incluía una clave API del proveedor en sus cabeceras.
La divulgación se coordinó con los responsables de LiteLLM y el informe técnico se publicó el 13 de octubre de 2026. Además de instalar la actualización, Check Point recomienda revisar las cuentas con acceso al gateway y cambiar las claves de los proveedores si existen indicios de acceso no autorizado anterior a la corrección.
