CVE-2026-48818
Açıklama
Starlette hafif bir ASGI çerçevesi/araç setidir. 1.0.1 ve önceki sürümlerde, Windows üzerindeki StaticFiles SSRF'ye karşı savunmasızdır. \\attacker.com\share gibi bir UNC yolu, yol reddedilmeden önce os.path.realpath fonksiyonunun giden bir SMB bağlantısı başlatmasına neden olabilir; bu durum, HTTP yanıtı yalnızca 404 olsa bile servis hesabının NTLMv2 kimlik bilgilerini çevrimdışı kırma veya aktarma işlemlerine açık hale getirir. Sorun, FastAPI gibi Starlette üzerine inşa edilmiş çerçeveler dahil olmak üzere varsayılan follow_symlink=False dağıtımlarını etkilemektedir; POSIX sistemleri ve follow_symlink=True yapılandırmaları etkilenmemiştir. Sorun 1.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- encode starlette1.1.0 ya da sonraki bir sürüm
- starlette1.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| encode starlette | v < 1.1.0 | 1.1.0 |
| starlettePyPI | v < 1.1.0 | 1.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.