Een ernstige kwetsbaarheid, aangeduid als CVE-2026-35029, is ontdekt in implementaties van de LiteLLM AI gateway, specifiek in versies ouder dan 1.83.0. LiteLLM fungeert als een cruciale AI-gateway tussen zakelijke applicaties en diverse modelproviders en heeft de capaciteit om gevoelige informatie zoals API-sleutels en beheerdersgegevens op te slaan.

De ontdekte kwetsbaarheid stelt geauthenticeerde gebruikers in staat om zonder de vereiste beheerdersrol toegang te krijgen tot het `/config/update` endpoint. Dit maakt het mogelijk voor aanvallers om omgevingsvariabelen en configuratiewaarden te manipuleren, zoals het aanpassen van `UI_LOGO_PATH`. Door deze waarde te wijzigen naar een gevoelig serverbestand, kan LiteLLM dit bestand lezen en de inhoud vrijgeven via het `/get_image` endpoint, dat in kwetsbare versies geen authenticatie vereist.

Dit risico kan leiden tot de blootstelling van geheimen die zijn opgeslagen in omgevings- en configuratiebestanden, waaronder API-sleutels van modelproviders en AWS-credentials. Verder kan de kwetsbaarheid worden misbruikt om de `UI_USERNAME` en `UI_PASSWORD` omgevingsvariabelen te overschrijven, wat aanvallers de mogelijkheid geeft de beheerdersinterface over te nemen en volledige administratieve controle te verkrijgen. De beveiligingsimpact kan verder gaan dan enkel datadiefstal; aanvallers kunnen kwaadaardige doorvoer-endpoint handlers registreren via gewijzigde configuratie, wat kan leiden tot remote code execution.

Tussen februari en juni 2026 werden ongeveer 3.900 verzoeken geregistreerd tegen LiteLLM administratieve API-endpoints, waarvan ongeveer 1.000 gericht waren op `/config/update`. De eerste detecteerbare pogingen om deze kwetsbaarheid te misbruiken, verschenen op 7 april 2026, een dag na de publieke bekendmaking van CVE-2026-35029. Latere aanvallen omvatten pogingen tot directe bestandslezing naar veelvoorkomende locaties voor geheimen, het raden van master keys, het genereren van nieuwe API-sleutels, het aanmaken van administrator accounts en het onderzoeken van SCIM provisioning routes.

LiteLLM heeft de kwetsbaarheid verholpen in versie 1.83.0 door de autorisatiedoorvoer voor het `/config/update` endpoint te versterken. Organisaties die LiteLLM gebruiken, worden dringend geadviseerd te upgraden naar versie 1.83.0 of een recentere versie. Aanvullende beveiligingsmaatregelen omvatten het verwijderen van LiteLLM control-plane services van blootstelling aan het publieke internet, het plaatsen van de Admin UI en administratieve endpoints achter een geauthenticeerde reverse proxy, en het configureren van een sterke, unieke master key. Het is tevens aan te raden om logboeken te controleren op verdachte verzoeken aan endpoints zoals `/config/update` en `/get_image`. Organisaties die een blootgestelde LiteLLM-versie vóór 1.83.0 hebben gebruikt, dienen alle potentieel blootgestelde geheimen onmiddellijk te rouleren.