CVE-2026-48817

Starlette yüngülçəkili ASGI freymvorkudur/alətlər dəstidir. 1.0.1 və daha aşağı versiyalarda sorğu yönləndirilərkən, HTTPEndpoint HTTP metodunu kiçik hərflərə çevirərək və onu getattr vasitəsilə atribut kimi axtararaq handler-i seçir, lakin bu axtarışı məlum HTTP felləri siyahısı ilə məhdudlaşdırmır. Bir HTTPEndpoint alt-sinfi Route(...) vasitəsilə aşkar methods= arqumenti olmadan qeydiyyata alındıqda, marşrut metodu məhdudlaşdırmır və hər bir metod endpoint-ə çatır. Əgər kiçik hərflərlə yazılışı endpoint alt-sinfindəki bir atributla üst-üstə düşən standart olmayan HTTP metodu endpoint-ə çatarsa, həmin atribut sanki sorğu handler-i imiş kimi çağırılır. Hücumçu bundan istifadə edərək daxili köməkçi funksiyalar kimi heç vaxt HTTP handler-i olması nəzərdə tutulmayan metodlara, nəzərdə tutulan ictimai handler tərəfindən tətbiq edilən avtorizasiya yoxlamaları olmadan çata bilər. Tətbiq (FastAPI kimi Starlette əsaslı freymvorklar daxil olmaqla), əgər o, HTTPEndpoint alt-sinfini Route(...) vasitəsilə methods= parametrini aşkar şəkildə təyin etmədən qeydiyyatdan keçirirsə və həmin alt-sinif bir sorğu arqumenti qəbul edib cavab qaytaran, standart olmayan HTTP fellərinə bənzər adlı əlavə metodlar ehtiva edirsə, bu problemdən təsirlənir. Bu problem 1.1.0 versiyasında düzəldilmişdir.