Summary
Er is een kwetsbaarheid verholpen in Starlette, een Python-library voor het ontwikkelen van webservices. Starlette wordt door verschillende producten gebruikt, waaronder FastAPI.
Details
Interpretaties
Een ongeauthenticeerde kwaadwillende kan de kwetsbaarheid misbruiken voor het omzeilen van authenticatie. Hierdoor kan de kwaadwillende afgeschermde URL-paden benaderen. Zodoende krijgt de kwaadwillende ongeauthenticeerde toegang tot functionaliteiten of data van een webservice die een kwetsbare Starlette-versie gebruikt.
De kwetsbaarheid wordt veroorzaakt doordat het pad in de Host-header onvoldoende wordt geverifieerd. De mogelijke impact van misbruik is afhankelijk van het soort data dat door een kwetsbare webservice wordt verwerkt en de functionaliteiten die deze service biedt.
Oplossingen
De kwetsbaarheid is verholpen in Starlette versie 1.0.1. Applicaties die Startelle gebruiken, dienen Starlette bij te werken naar deze of een latere versie.
Indien jouw organisatie applicaties gebruikt waar Starlette onderdeel van is, zoals FastAPI, dan ben je voor beveiligingsupdates mogelijk afhankelijk van je leverancier.
Wanneer een van je applicaties een kwetsbare versie van Starlette gebruikt en het niet mogelijk is om Starlette te updaten, kan de kans op misbruik worden beperkt door de kwetsbare applicatie niet naar het internet te ontsluiten of authenticatie via een reverse proxy in te regelen.
Lees de bijgevoegde referenties voor meer informatie.
Vulnerabilities 1
-
Medium 6.5
Starlette has missing Host header validation that poisons request.url.path, bypassing path-based security checks
Starlette is a lightweight ASGI framework/toolkit. Prior to version 1.0.1, the HTTP `Host` request header was not validated before being used to reconstruct `request.url`. Because the routing algorithm relies on the raw HTTP path while `request.url` is rebuil…
KEV Sep 2, 2026
Revision history
-
#1.0.0
Initiele versie