CVE-2026-48817

Starlette hafif bir ASGI çerçevesi/araç takımıdır. 1.0.1 ve altı sürümlerde, bir istek iletilirken HTTPEndpoint, HTTP yöntemini küçük harfe çevirerek ve bunu getattr ile bir öznitelik olarak arayarak, aramayı bilinen HTTP fiilleri kümesiyle sınırlandırmadan işleyiciyi seçer. Bir HTTPEndpoint alt sınıfı, açık bir methods= bağımsız değişkeni olmadan Route(...) aracılığıyla kaydedildiğinde, rota yöntemi kısıtlamaz ve her yöntem uç noktaya ulaşır. Küçük harf hali uç nokta alt sınıfındaki bir özniteliğin adıyla eşleşen standart dışı bir HTTP yöntemi uç noktaya ulaştığında, söz konusu öznitelik sanki bir istek işleyicisiymiş gibi çağrılır. Bir saldırgan bunu, hedeflenen genel işleyici tarafından uygulanan yetkilendirme kontrolleri olmaksızın, dahili yardımcılar gibi hiçbir zaman HTTP işleyicisi olması amaçlanmamış yöntemlere erişmek için kullanabilir. Bir uygulama (FastAPI gibi Starlette tabanlı çerçeveler dahil), bir HTTPEndpoint alt sınıfını methods= değerini açıkça ayarlamadan Route(...) üzerinden kaydederse ve bu alt sınıf, tek bir istek bağımsız değişkeni alan ve bir yanıt döndüren, standart dışı HTTP fiillerine benzer şekilde adlandırılmış ek yöntemler içeriyorsa etkilenir. Bu sorun 1.1.0 sürümünde düzeltilmiştir.