CVE-2026-54282
Açıklama
Starlette hafif bir ASGI çerçevesi/araç takımıdır. 1.3.0 sürümünden önce, HTTP istek yolu, request.url'yi yeniden oluşturmak için kullanılmadan önce doğrulanmamaktadır. request.url; {scheme}://{host}{path} ifadelerinin birleştirilmesi ve sonucun yeniden ayrıştırılmasıyla yeniden oluşturulduğu için, / ile başlamayan bir yol (örneğin @google.com), yeniden ayrıştırma sırasında yetki sınırını kaydırmakta, böylece request.url.hostname ve request.url.netloc saldırgan kontrolüne geçmektedir. Bu nedenle, request.url.hostname değerini okuyan kodlar (Host başlığı veya kapsam yerine), saldırgan tarafından sağlanan bir ana bilgisbara güvenmeye yönlendirilebilir. Bu güvenlik açığı 1.3.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- encode starlette1.3.0 ya da sonraki bir sürüm
- starlette1.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| encode starlette | v < 1.3.0 | 1.3.0 |
| starlettePyPI | v < 1.3.0 | 1.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.