CVE-2026-48710: Kludex starlette, невалидиран вход

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Да

Атакува се

в каталога KEV от 2 септември 2026

Атакува се в момента

99 дни

Време до експлоатация

след публикуването

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

Експлоатация: активно се експлоатира
Атаката може да се автоматизира

Описание

Оригинално описание

Starlette is a lightweight ASGI framework/toolkit. Prior to version 1.0.1, the HTTP `Host` request header was not validated before being used to reconstruct `request.url`. Because the routing algorithm relies on the raw HTTP path while `request.url` is rebuilt from the `Host` header, a malformed header could make `request.url.path` differ from the path that was actually requested. Middleware and endpoints that apply security restrictions based on `request.url` (rather than the raw `scope` path) could therefore be bypassed. Users should upgrade to a version greater than or equal to version 1.0.1, which validates the `Host` header against the grammar of RFC 9112 §3.2 / RFC 3986 §3.2.2 when constructing `request.url` and falls back to `scope["server"]` for malformed values.

Засегнати продукти

Kludex starlette: < 1.0.1
Red Hat: още 15 продукта, добавени от Red Hat
Red Hat AI Inference Server 3.3, Red Hat Ansible Automation Platform 2.6, Red Hat Ansible Automation Platform 2.7, Red Hat Migration Toolkit for Applications 8.2, Red Hat OpenShift AI 3.3, Red Hat OpenShift AI 3.4, Red Hat Satellite 6.17, Red Hat Satellite 6.18, Red Hat Satellite 6.19, Exploit Intelligence, OpenShift Lightspeed, Red Hat AI Inference Server, Red Hat Ansible Automation Platform 2, Red Hat Enterprise Linux AI (RHEL AI) 3, Red Hat OpenShift AI (RHOAI)

CVE-2026-48710: Kludex starlette, невалидиран вход

Описание

Засегнати продукти

Вид слабост

История

Други уязвимости в Kludex starlette

Първоизточници