何が起きたか
NVD RESTで検証済み（2026-10-16公開、CVSS 7.7、CWE-918、スコープ変更）。AIプロバイダーURLはSSRFフィルタリングなしでLiteLLMに直接渡され、ブラインドなネットワーク到達可能性オラクルをもたらす。
なぜ重要か
LiteLLM上に構築されたAI機能エンドポイントがSSRFベクトルである：セルフホスト型AI製品を繰り返し侵害してきたのと同じクラスのAIゲートウェイSSRF（内部ホストのプローブ、クラウドインスタンスメタデータへの到達）である。Tandoorデプロイメントでは、ブラインドオラクルがDocker/K8sホストネットワークをマッピングし、メタデータエンドポイントにヒットして、クラウドホスト型インストールでの認証情報開示にエスカレーションする可能性がある。
攻撃経路
cookbook/views/api.pyのAIアクションは、LiteLLMパスが通常受けるサーバーのアウトバウンドリクエストSSRFチェック（safe_request）を適用せずに、ユーザーが供給したプロバイダーURL（TARGET/api/ai-import/、api/ai-step-sort/）を介してcompletionを呼び出す。認証されたユーザーはSpaceを作成し、内部アドレスを指すAIプロバイダーURLを設定し、AIアクションを呼び出して内部ターゲットとクラウドメタデータエンドポイントをプローブする。
影響を受けるシステム
TandoorRecipes/recipes < 2.6.10
緩和策
Tandoor Recipes 2.6.10（コミット79e7835、GHSA-wq4h-2r8x-cv65）にアップグレードする。これにより、AIプロバイダー接続がサーバーのSSRFチェックを通過するようになる。