No componente `HTTPEndpoint`, o manipulador é selecionado convertendo o método HTTP para letras minúsculas e procurando-o como um atributo usando `getattr`, sem restringir a busca a um conjunto conhecido de verbos HTTP. Quando uma subclasse `HTTPEndpoint` é registrada através de `Route(...)` sem um argumento `methods=` explícito, a rota não restringe o método, permitindo que qualquer método atinja o endpoint. Se um método HTTP não padrão for utilizado e seu nome em letras minúsculas corresponder a um atributo na subclasse do endpoint, esse atributo será invocado como um manipulador de requisição. Isso permite que um invasor acesse métodos que não foram destinados a ser manipuladores HTTP, como auxiliares internos, ignorando as verificações de autorização aplicadas aos manipuladores públicos. Este problema também afeta frameworks construídos sobre o Starlette, como o FastAPI.