待验证50% 置信事实精确时间
除非将 EXPERIMENTAL_UI_LOGIN 显式设为 false，LiteLLM 代理会尝试将任何不以 sk- 开头的传入 token 解密为 UI 会话 token；GHSA-7hp6 公告称 1.87.0 至 1.90.x 在设为 true 时同样可被利用。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/13
首次发现
有效期至：2027/1/11
来源
涉及实体
相关事实
待验证GHSA-7hp6-4w63-5g45 的根因是 LiteLLM 代理使用同一把 key 既加密存储的密钥又签发会话 token，导致请求加密的密文返回时变成合法的管理员 token。62% 相似待验证langchain-core 1.6.9 的 commit 哈希为 fc7dc77，使用 GitHub 验证签名机制签名（GPG key ID: B5690EEEBB952194）57% 相似待验证GCM nonce重用可使攻击者利用GF(2^128)多项式方程恢复认证密钥H并伪造认证标签，这一攻击被称为GCM nonce misuse attack57% 相似待验证ML-KEM-768的公钥约1184字节，混合加密会增大通信数据包，可能影响延迟敏感应用55% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1017244API
curl https://kongchang.com/api/v1/knowledge/claims/1017244MCP
get_claim(id=1017244)