待验证50% 置信事实精确时间
GHSA-7hp6-4w63-5g45 的根因是 LiteLLM 代理使用同一把 key 既加密存储的密钥又签发会话 token，导致请求加密的密文返回时变成合法的管理员 token。
1
来源数
50%
置信度
长期有效
时效性
2026/10/13
首次发现
来源
涉及实体
相关事实
待验证langchain-core 1.6.9 的 commit 哈希为 fc7dc77，使用 GitHub 验证签名机制签名（GPG key ID: B5690EEEBB952194）68% 相似待验证1Password使用PBKDF2-HMAC-SHA256并结合独有的Secret Key机制（一个128位的本地密钥与主密码共同参与派生）66% 相似待验证TokenRouter 的供应商密钥在静态存储时经过 AES 加密，仅在请求时于内存中解密，不会写入日志65% 相似待验证除非将 EXPERIMENTAL_UI_LOGIN 显式设为 false，LiteLLM 代理会尝试将任何不以 sk- 开头的传入 token 解密为 UI 会话 token；GHSA-7hp6 公告称 1.87.0 至 1.90.x 在设为 true 时同样可被利用。62% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1017238API
curl https://kongchang.com/api/v1/knowledge/claims/1017238MCP
get_claim(id=1017238)