A remote code execution (RCE) vulnerability exists in the berriai/litellm project due to improper control of the generation of code when using the `eval` function unsafely in the `litellm.get_secret()` method. Specifically, when the server utilizes Google KMS, untrusted data is passed to the `eval` function without any sanitization. Attackers can exploit this vulnerability by injecting malicious values into environment variables through the `/config/update` endpoint, which allows for the update of settings in `proxy_server_config.yaml`.
Existe una vulnerabilidad de ejecución remota de código (RCE) en el proyecto berriai/litellm debido a un control inadecuado de la generación de código cuando se utiliza la función `eval` de forma insegura en el método `litellm.get_secret()`. Específicamente, cuando el servidor utiliza Google KMS, los datos que no son de confianza se pasan a la función "eval" sin ningún tipo de desinfección. Los atacantes pueden aprovechar esta vulnerabilidad inyectando valores maliciosos en las variables de entorno a través del endpoint `/config/update`, que permite la actualización de la configuración en `proxy_server_config.yaml`.
