搜尋

LiteLLM 1.107.0 在 PyPI 被植入竊密程式與後門

PyPI 上的 LiteLLM 1.107.0 全部七個 wheel 都帶有憑據竊取器和遠端程式碼執行後門，只要主機上有任意 Python 程序啟動，後門就會觸發，無需匯入 litellm。注入點是 pyproject.toml 中 maturin 的 data="cook"，上游 GitHub 原始碼中沒有該改動；1.106.2 與兩個 rc 版本都乾淨，該版本已被 PyPI 移除。