CVE-2026-48710
Açıklama
Starlette hafif bir ASGI çerçevesidir/araç takımıdır. Versiyon 1.0.1 öncesinde, HTTP `Host` istek başlığı `request.url` yeniden oluşturulmadan önce doğrulanmıyordu. Yönlendirme algoritması ham HTTP yoluna dayanırken `request.url` ise `Host` başlığından yeniden oluşturulduğu için, hatalı biçimlendirilmiş bir başlık `request.url.path` değerinin gerçekte talep edilen yoldan farklı olmasına neden olabilirdi. Bu nedenle, güvenlik kısıtlamalarını (ham `scope` yolu yerine) `request.url` üzerinden uygulayan ara yazılımlar ve uç noktalar atlatılabilirdi. Kullanıcıların, `request.url` oluştururken `Host` başlığını RFC 9112 §3.2 / RFC 3986 §3.2.2 dil bilgisine göre doğrulayan ve hatalı biçimlendirilmiş değerler için `scope["server"]` seçeneğine geri dönen versiyon 1.0.1 veya daha yeni bir sürüme yükseltmeleri önerilir.
Nasıl düzeltilir
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 16 Eyl 2026- encode starlette1.0.1 ya da sonraki bir sürüm
- redhat migration_toolkit_for_applications8.2.0 ya da sonraki bir sürüm
- redhat openshift_ai3.3.5, 3.4.2 ya da sonraki bir sürüm
- starlette1.0.1 ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:30089
- access.redhat.com/errata/RHSA-2026:30088
- access.redhat.com/errata/RHSA-2026:24866
- access.redhat.com/errata/RHSA-2026:23346
- access.redhat.com/errata/RHSA-2026:43038
- access.redhat.com/errata/RHSA-2026:37275
- access.redhat.com/errata/RHSA-2026:60520
- access.redhat.com/errata/RHSA-2026:34456
- access.redhat.com/errata/RHSA-2026:44696
- access.redhat.com/errata/RHSA-2026:22993
- access.redhat.com/errata/RHSA-2026:26226
- access.redhat.com/errata/RHSA-2026:51357
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| encode starlette | 0.8.3 ≤ v < 1.0.1 | 1.0.1 |
| redhat ai_inference_server | 3.3.0 ≤ v ≤ 3.3.5 | — |
| redhat ansible_automation_platform | 2.6, 2.7 | — |
| redhat migration_toolkit_for_applications | v < 8.2.0 | 8.2.0 |
| redhat openshift_ai | 3.3 ≤ v < 3.3.5, 3.4 ≤ v < 3.4.2 | 3.3.5, 3.4.2 |
| redhat openshift_lightspeed | Aralık belirtilmemiş | — |
| redhat satellite | 6.17, 6.18, 6.19 | — |
| redhat enterprise_linux_ai | 3.0 | — |
| starlettePyPI | v < 1.0.1 | 1.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.