CVE-2026-42271

LiteLLM: Authenticated command execution via MCP stdio test endpoints

noneAktiv ausgenutztPoCEPSS 100%
Severity
none
Priority-Score
227.45
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
CVSS v3
8.8
CVSS v4
8.7
EPSS-Perzentil
99.6 %
Kritisch — Modell sagt sehr hohe Ausnutzungs-Wahrscheinlichkeit in den nächsten 30 Tagen.
Veröffentlicht
2026-04-25 23:27 UTC
CWE
CWE-77, CWE-78, CWE-78

Weakness-Klassen (CWE)

  • CWE-77Class

    Improper Neutralization of Special Elements used in a Command ('Command Injection')

    The product constructs all or part of a command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended command when it is sent to a downstream component.

    cwe.mitre.org →

  • CWE-78Base

    Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

    The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

    cwe.mitre.org →

  • CWE-78Base

    Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

    The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Modified Analysis2026-06-30 20:19 UTC· nvd@nist.gov
    • CPE Configuration: OR *cpe:2.3:a:redhat:openshift_ai:*:*:*:*:*:*:*:* versions from (including) 2.25 up to (excluding) 2.25.8 *cpe:2.3:a:redhat:openshift_ai:*:*:*:*:*:*:*:* versions from (including) 3.3 up to (excluding) 3.3.4 *cpe:2.3:a:redhat:openshift_ai:3.4:*:*:*:*:*:*:*
    • Reference Type: redhat-SADP: https://access.redhat.com/errata/RHSA-2026:27784 Types: Third Party Advisory
    • Reference Type: redhat-SADP: https://access.redhat.com/errata/RHSA-2026:28960 Types: Third Party Advisory
    • Reference Type: redhat-SADP: https://access.redhat.com/errata/RHSA-2026:30056 Types: Third Party Advisory
  2. CVE CISA KEV Update2026-06-08 19:00 UTC· 9119a7d8-5eab-497f-8521-727c672e3725
    • Date Added: 2026-06-08
    • Due Date: 2026-06-08
    • Required Action: 2026-06-08
    • Vulnerability Name: 2026-06-08
  3. CVE Modified2026-06-08 18:16 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-42271

Beschreibung

### Auswirkungen Zwei Endpunkte zur Vorschau einer MCP-Server-Konfiguration vor dem Speichern — `POST /mcp-rest/test/connection` und `POST /mcp-rest/test/tools/list` — akzeptierten eine vollständige Server-Konfiguration im Request-Body, einschließlich der Felder `command`, `args` und `env`, die vom stdio-Transport verwendet werden. Bei Aufrufen mit einer stdio-Konfiguration versuchten die Endpunkte sich zu verbinden, was den bereitgestellten Befehl als Unterprozess auf dem Proxy-Host mit den Privilegien des Proxy-Prozesses ausführte. Die Endpunkte waren nur durch einen gültigen Proxy-API-Schlüssel geschützt, ohne Rollenprüfung. Jeder authentifizierte Benutzer — einschließlich Inhaber von API-Schlüsseln mit niedrigen Privilegien — konnte daher beliebige Befehle auf dem Host ausführen. ### Patches Behoben in **`1.83.7`**. Beide Test-Endpunkte erfordern nun die Rolle `PROXY_ADMIN`, was sie mit dem Speicher-Endpunkt in Einklang bringt. ### Workarounds Falls ein Upgrade nicht sofort möglich ist, sollten Entwickler `POST /mcp-rest/test/connection` und `POST /mcp-rest/test/tools/list` an ihrem Reverse Proxy oder API-Gateway blockieren.

Quelle: OSV

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen