CVE-2025-62727

Nome do Software Vulnerável e Versões Afetadas Versões do Starlette de 0.39.0 a 0.49.0

Descrição O Starlette é um framework/toolkit ASGI leve. Um atacante não autenticado pode enviar um cabeçalho HTTP Range manipulado que aciona um processamento de tempo quadrático na lógica de análise/mesclagem de Range do FileResponse do Starlette. Isso possibilita o esgotamento da CPU por solicitação, causando negação de serviço para endpoints que servem arquivos, como StaticFiles ou qualquer uso de FileResponse. O loop de análise do FileResponse. parse range header() usa uma expressão regular que é vulnerável à negação de serviço devido à sua complexidade O(n^2). Um cabeçalho Range manipulado pode maximizar essa complexidade. O loop de mesclagem processa cada intervalo de entrada verificando toda a lista de resultados, resultando em comportamento quadrático com muitos intervalos disjuntos. Isso afeta qualquer aplicação Starlette que use starlette.staticfiles.StaticFiles ou respostas diretas de starlette.responses.FileResponse.

Recomendações Versões anteriores a 0.49.1 são afetadas.