主 题：Python最新漏洞
发 布 者：xiaomei443
标签分类： 情报
时 间：2026-10-22 01:48:06
内容预览：LiteLLM 官方包遭供应链投毒植入木马（10月21日爆发）• 影响组件： LiteLLM（广泛用于接入各大 LLM 模型的 Python 聚合库）• 严重级别： 🔴 CRITICAL · 供应链投毒• 漏洞/事件详情： 黑客攻破了发布流程，于 10 月 21 日向 PyPI 官方镜像库发布了投毒版本 LiteLLM 1.107.0 Cybersecurity News。该版本的所有预构建包（Wheel）均被植入了凭证窃取后门与远控木马（RAT），不仅会窃取开发者系统上的各种 API Key 和系统凭据，还会让攻击者获得远程反弹 Shell 权限 Cybersecurity News。• 处置步骤：1. 立即检查 pip list | grep litellm，若安装了 1.107.0，须立刻卸载并彻底轮换/更换机器上所有的 API 密钥与系统凭证 Cybersecurity News。2. PyPI 已紧急下架该版本，请回退到经过验证的旧稳定版本或更新至官方后续的安全修复版 Cybersecurity News。Python 异步网络库 AIOHTTP 临时资源耗尽拒绝服务漏洞 (CVE-2026-54280)• 最新状态： 🟠 高危（Web 后端及爬虫全线受影响）• 漏洞影响： 作为 Python 异步生态（如 FastAPI 后端、高并发爬虫）最核心的底层组件，AIOHTTP 在近期版本中被发现：当客户端在数据写入中途突然断开连接时，服务器的 Payload 资源（例如打开的文件描述符、有限的内存缓冲区）无法被正常关闭与释放。• 影响危害： 黑客可以通过发起大量恶意的高并发连接并主动中断，在极短时间内耗尽服务器的所有文件句柄和内存资源（Resource Starvation），导致依赖 FastAPI 或 AIOHTTP 的 Python Web 服务直接卡死或崩溃
直达链接： https://www.nodeseek.com/post-1000160-1
发 布 者：xiaomei443
标签分类： 情报
时 间：2026-10-22 01:48:06
内容预览：LiteLLM 官方包遭供应链投毒植入木马（10月21日爆发）• 影响组件： LiteLLM（广泛用于接入各大 LLM 模型的 Python 聚合库）• 严重级别： 🔴 CRITICAL · 供应链投毒• 漏洞/事件详情： 黑客攻破了发布流程，于 10 月 21 日向 PyPI 官方镜像库发布了投毒版本 LiteLLM 1.107.0 Cybersecurity News。该版本的所有预构建包（Wheel）均被植入了凭证窃取后门与远控木马（RAT），不仅会窃取开发者系统上的各种 API Key 和系统凭据，还会让攻击者获得远程反弹 Shell 权限 Cybersecurity News。• 处置步骤：1. 立即检查 pip list | grep litellm，若安装了 1.107.0，须立刻卸载并彻底轮换/更换机器上所有的 API 密钥与系统凭证 Cybersecurity News。2. PyPI 已紧急下架该版本，请回退到经过验证的旧稳定版本或更新至官方后续的安全修复版 Cybersecurity News。Python 异步网络库 AIOHTTP 临时资源耗尽拒绝服务漏洞 (CVE-2026-54280)• 最新状态： 🟠 高危（Web 后端及爬虫全线受影响）• 漏洞影响： 作为 Python 异步生态（如 FastAPI 后端、高并发爬虫）最核心的底层组件，AIOHTTP 在近期版本中被发现：当客户端在数据写入中途突然断开连接时，服务器的 Payload 资源（例如打开的文件描述符、有限的内存缓冲区）无法被正常关闭与释放。• 影响危害： 黑客可以通过发起大量恶意的高并发连接并主动中断，在极短时间内耗尽服务器的所有文件句柄和内存资源（Resource Starvation），导致依赖 FastAPI 或 AIOHTTP 的 Python Web 服务直接卡死或崩溃
直达链接： https://www.nodeseek.com/post-1000160-1
