LiteLLM 1.107.0 PyPI 包被植入窃密后门

安全公司 SafeDep 披露，PyPI 上发布的 LiteLLM 1.107.0 全部七个 wheel 包都被植入凭据窃取程序和远程代码执行后门。SafeDep 称，这些恶意文件在上游 GitHub 源码中并不存在，说明它们是在打包发布环节被加入的。 SafeDep 表示，1.106.2、1.107.0rc1 和 1.107.0rc2 三个版本未受影响。使用 LiteLLM 的用户应避免安装 1.107.0，并检查是否已从 PyPI 拉取该版本。

AI 根据报道生成 · 47 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。