CVE-2026-48817
Publiée le 2026-06-17 · Dernière modification le 2026-10-25
Les applications web utilisant Starlette ou FastAPI (versions 1.0.1 et antérieures) sont concernées si elles utilisent des configurations de routage spécifiques sans définir explicitement les méthodes HTTP autorisées. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une requête utilisant une méthode HTTP personnalisée pour déclencher des fonctions d'aide internes qui n'étaient pas destinées à être publiques, contournant potentiellement les contrôles d'autorisation. Comme cela nécessite une structure de code spécifique et un nom de méthode correspondant, il s'agit d'une attaque ciblée plutôt que d'un exploit généralisé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Starlette is a lightweight ASGI framework/toolkit. In versions 1.0.1 and below, when dispatching a request, HTTPEndpoint selects the handler by lowercasing the HTTP method and looking it up as an attribute with getattr, without restricting the lookup to a known set of HTTP verbs. When an HTTPEndpoint subclass is registered through Route(...) without an explicit methods= argument, the route does not constrain the method and every method reaches the endpoint. If a non-standard HTTP method whose lowercased name matches an attribute on the endpoint subclass reaches the endpoint, that attribute is invoked as if it were a request handler. An attacker can use this to reach methods that were never meant to be HTTP handlers, such as internal helpers, without the authorization checks applied by the intended public handler. An application (including Starlette-based frameworks like FastAPI) is affected if it registers an HTTPEndpoint subclass via Route(...) without explicitly setting methods=, and that subclass includes extra methods named like non-standard HTTP verbs that take one request argument and return a response. This issue has been fixed in version 1.1.0.