PT-2026-49597
CVE-2026-54283
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Starlette (لم يتم تحديد الإصدارات المتأثرة)
FastAPI (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة رفض الخدمة (DoS) في الدالة
request.form() عند معالجة طلبات application/x-www-form-urlencoded. في حين يتم فرض حدود max fields وmax part size على multipart/form-data، يتم تجاهلها بالنسبة للنصوص الأساسية المشفرة عبر عنوان URL. وهذا يسمح لمهاجم غير مصدق الهوية باستنفاد الموارد من خلال طريقتين: إرسال عدد كبير من الحقول (على سبيل المثال، 1,000,000 حقل)، مما يؤدي إلى حظر حلقة أحداث العامل واستهلاك وحدة المعالجة المركزية (CPU)، أو إرسال حقل واحد كبير جدًا، مما يؤدي إلى تخصيص ذاكرة غير محدودة.التوصيات
قم بالترقية إلى إصدار مُصَحَّح من Starlette و FastAPI لضمان تطبيق
max fields و max part size على محللات البيانات المُشفَّرة عبر عنوان URL.كحل مؤقت، قم بتقييد حجم نص الطلب عبر وكيل عكسي لتقليل مخاطر استنفاد الذاكرة، على الرغم من أن هذا قد لا يمنع تمامًا تعطل حلقة الأحداث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾