Betroffen ist LiteLLM, ein Proxy-Server (AI Gateway), der Anfragen an KI-Sprachmodelle im OpenAI-Format vermittelt. Der Endpunkt zur Aktualisierung der Konfiguration prüft nicht, ob der aufrufende Nutzer tatsächlich Administratorrechte besitzt. Dadurch genügt ein beliebiges, bereits angemeldetes Konto, um die Proxy-Konfiguration und Umgebungsvariablen zu verändern. Die Folgen reichen weit: Angreifer können eigene Pass-Through-Endpunkte registrieren, die auf von ihnen kontrollierten Python-Code verweisen, und so aus der Ferne beliebigen Code auf dem Server ausführen. Über das Umbiegen des Pfads für das Oberflächen-Logo und den anschließenden Abruf der Bilddatei lassen sich zudem beliebige Dateien des Servers auslesen. Schließlich können die Umgebungsvariablen für Benutzername und Passwort der Verwaltungsoberfläche überschrieben und damit privilegierte Konten übernommen werden. Es handelt sich um einen klassischen Fall fehlender Berechtigungsprüfung, der aus einem einfachen Nutzerkonto vollständige Kontrolle über das Gateway macht.