原文

LiteLLMは、OpenAI（またはネイティブ）形式のLLM APIを呼び出すためのプロキシサーバー（AIゲートウェイ）です。バージョン1.83.7-stableより前のLiteLLMでは、スキルのZIPアーカイブ展開時にファイルパスの検証が不十分でした。そのため、認証ユーザーでかつLiteLLMのLLM APIルートへのアクセス権を持つか、またはallowed_routesに/v1/skills、anthropic_routes、llm_api_routesを含むキーを持つユーザーが、パス・トラバーサルのエントリーを含む細工されたスキルアーカイブをアップロードし、意図した展開先やステージングディレクトリ外にファイルを書き込むことが可能となっていました。この問題はバージョン1.83.7-stableで修正されています。