PT-2026-49553
CVE-2026-48817
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-09-20
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Starlette 1.0.1 والإصدارات الأقدم
الوصف
في مكون
HTTPEndpoint، يتم اختيار المعالج عن طريق تحويل اسم طريقة HTTP إلى أحرف صغيرة والبحث عنها كسمة باستخدام getattr دون تقييد البحث بمجموعة معروفة من أفعال HTTP. عندما يتم تسجيل فئة فرعية لـ HTTPEndpoint من خلال Route(...) دون حجة methods= صريحة، لا يقيد المسار الطريقة، مما يسمح لأي طريقة بالوصول إلى نقطة النهاية. إذا تم استخدام طريقة HTTP غير قياسية يتطابق اسمها بعد تحويله إلى أحرف صغيرة مع سمة في الفئة الفرعية لنقطة النهاية، يتم استدعاء تلك السمة كمعالج طلب. وهذا يسمح للمهاجم بالوصول إلى طرق غير مخصصة لتكون معالجات HTTP، مثل المساعدات الداخلية، متجاوزًا بذلك عمليات التحقق من التفويض المطبقة على المعالجات العامة. تؤثر هذه المشكلة أيضًا على الأطر المبنية على Starlette، مثل FastAPI.التوصيات
التحديث إلى الإصدار 1.1.0.
تسجيل الفئات الفرعية لـ
HTTPEndpoint باستخدام وسيطة methods= صريحة في Route، مع إدراج الأفعال HTTP المدعومة فقط لضمان رفض الطرق الأخرى باستجابة 405 Method Not Allowed. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾