LiteLLM: MCP Authentication Bypass via OAuth2 Passthrough Fallback

高 8.2悪用確認済み（CISA KEV）CVE-2026-59822 · GHSA-7488-6r32-c95q · PYSEC-2026-3479 · 08/07/2026 公開 · 25/10/2026 更新

BerriAI LiteLLM Improper Authentication Vulnerability. 悪用が確認されています：CISA は 02/09/2026 にこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるシステムは緊急に修正してください。

要点

CVE-2026-59822 は litellm, litellm (litellm) に影響する深刻度「高」 (CVSS 8.2) の脆弱性です。
実際に悪用されています：CISA が 02/09/2026 に KEV カタログへ追加しました。
今後30日間に悪用される確率（EPSS）：0.84%（全脆弱性の 57.7% より高い）。
対処：1.84.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
litellm PyPI	`< 1.84.0`	`1.84.0`
litellm litellm	`< 1.84.0`	`1.84.0`

概要

Impact

LiteLLM's MCP Streamable HTTP endpoint could allow an unauthenticated attacker to establish an authenticated MCP session using an arbitrary Bearer token.

The MCP auth handler supported OAuth2 passthrough for upstream MCP servers, but the fallback path could replace failed LiteLLM key validation with an empty UserAPIKeyAuth() object. This allowed requests with a fabricated Authorization header to reach MCP tooling without a valid LiteLLM key.

An attacker could use this to list and call configured MCP tools and access connected services exposed through MCP.

Patches

The issue is fixed in 1.84.0.

We recommend upgrading to 1.84.0 or later.

Workarounds

If upgrading is not immediately possible, disable MCP routes or block access to /mcp/ and related MCP endpoints at your reverse proxy or API gateway.

References

v1.84.0

NVD の説明

LiteLLM is a proxy server (AI Gateway) to call LLM APIs in OpenAI (or native) format. Prior to 1.84.0, LiteLLM's MCP Streamable HTTP endpoint allowed an unauthenticated attacker to use a fabricated Authorization header to trigger an OAuth2 passthrough fallback path that replaced failed LiteLLM key validation with an empty UserAPIKeyAuth() object, allowing requests to reach MCP tooling without a valid LiteLLM key. This issue is fixed in version 1.84.0.

参考情報

BerriAI/litellm security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-59822 · ADVISORY
BerriAI/litellm#26463 · WEB
BerriAI/litellm commit 73869f0 · WEB
BerriAI/litellm · PACKAGE
BerriAI/litellm release v1.84.0 · WEB
cisa.gov/known-exploited-vulnerabilities-catalog · US Government Resource
wiz.io/blog/ai-infrastructure-honeypot · Third Party Advisory
pypi.org/project/litellm · PACKAGE
GitHub Advisory GHSA-7488-6r32-c95q · ADVISORY
CISA KEV · CVE-2026-59822

litellm のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2026-59822 は litellm, litellm (litellm) に影響する深刻度「高」 (CVSS 8.2) の脆弱性です。

実際に悪用されています：CISA が 02/09/2026 に KEV カタログへ追加しました。

今後30日間に悪用される確率（EPSS）：0.84%（全脆弱性の 57.7% より高い）。

対処：1.84.0 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

litellm

PyPI

< 1.84.0

1.84.0