CVE-2026-54282

Nome do Software Vulnerável e Versões Afetadas starlette versões anteriores a 1.3.1

Descrição O caminho da requisição HTTP não é validado antes de ser usado para reconstruir o request.url. Quando um caminho não começa com /, como @google.com, ele é concatenado como {scheme}://{host}{path}. Isso desloca o limite de autoridade durante a re-análise, fazendo com que request.url.hostname e request.url.netloc sejam controlados por um invasor. Consequentemente, aplicações que utilizam essas variáveis para decisões sensíveis de segurança — como autorização baseada em host, alvos de SSRF ou chaves de cache — podem ser enganadas para confiar em um host fornecido pelo invasor. Este problema requer um servidor ASGI que encaminhe um request-target sem a barra inicial / para scope["path"]. O impacto é limitado principalmente a middlewares ou manipuladores de exceção/404, já que o caminho malformado normalmente não corresponde a rotas registradas.

Recomendações Atualize para a versão 1.3.1 ou superior.