JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-023543 LiteLLMは、OpenAI（またはネイティブ）形式のLLM APIを呼び出すためのプロキシサーバー（AIゲートウェイ）です。バージョン1.83.7-stableより前のLiteLLMでは、スキルのZIPアーカイブ展開時にファイルパスの検証が不十分でした。そのため、認証ユーザーでかつLiteLLMのLLM APIルートへのアクセス権を持つか、またはallowed_routesに/v1/skills、anthropic_routes、llm_api_routesを含むキーを持つユーザーが、パス・トラバーサルのエントリーを含む細工されたスキルアーカイブをアップロードし、意図した展開先やステージングディレクトリ外にファイルを書き込むことが可能となっていました。この問題はバージョン1.83.7-stableで修正されています。 cpe:/a:litellm:litellm https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-023543.html Common Vulnerabilities and Exposures (CVE) CVE-2026-59820 https://www.cve.org/CVERecord?id=CVE-2026-59820 National Vulnerability Database (NVD) CVE-2026-59820 https://nvd.nist.gov/vuln/detail/CVE-2026-59820 GitHub Arbitrary file write via path traversal in Skills archive extraction Advisory BerriAI/litellm GitHub https://github.com/BerriAI/litellm/security/advisories/GHSA-5jmr-gcrj-2c9q JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html 関連文書 Release v1.83.7-stable BerriAI/litellm GitHub https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable 関連文書 fix: harden file path resolution in skill archive extraction BerriAI/litellm@6a15adc GitHub https://github.com/BerriAI/litellm/commit/6a15adcd64137d37f73dee76dfe7481f8c2d9196 関連文書 [Fix] Harden file path resolution in skill archive extraction by yuneng-berri Pull Request #25475 BerriAI/litellm GitHub https://github.com/BerriAI/litellm/pull/25475 2026-07-14T10:08:00+09:00 2026-07-14T10:08:00+09:00