CVE-2026-48710: Starlette n'effectue pas de validation de l'en-tête Host, ce qui empoisonne request.url.path et contourne les contrôles de sécurité basés sur les chemins. | Kitploit

CVE-2026-48710

MoyenPublié

Starlette n'effectue pas de validation de l'en-tête Host, ce qui empoisonne request.url.path et contourne les contrôles de sécurité basés sur les chemins.

Publié: 26 mai 2026
Mise à jour: 4 sept. 2026
Attribution de CNA: GitHub_M
Preuve observée: 8 août 2026

CVSS primaire

6,5/ 10Moyen

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Estimation de probabilité EPSS

36,3 %

Modéré · 30 prochains jours

Percentile: 98,5 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

CISA Connu Exploité

Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.

Résumé

Starlette est un framework/kit d'outils ASGI léger. Avant la version 1.0.1, l'en-tête de requête HTTP `Host` n'était pas validé avant d'être utilisé pour reconstruire `request.url`. Étant donné que l'algorithme de routage repose sur le chemin HTTP brut tandis que `request.url` est reconstruit à partir de l'en-tête `Host`, un en-tête malformé pouvait faire en sorte que `request.url.path` diffère du chemin réellement demandé. Les middlewares et les endpoints qui appliquent des restrictions de sécurité en se basant sur `request.url` (plutôt que sur le chemin brut de `scope`) pouvaient donc être contournés. Les utilisateurs doivent passer à une version supérieure ou égale à la version 1.0.1, qui valide l'en-tête `Host` selon la grammaire de la RFC 9112 §3.2 / RFC 3986 §3.2.2 lors de la construction de `request.url` et se replie sur `scope["server"]` pour les valeurs malformées.

Sources

starlette-host-header-labPoC
Lab de confusion d'URL Host-Header de Starlette (X41-2026-002) - CVE-2026-48710
BadHost-CVE-2026-48710-ExploitScanner
Scanner de détection pour CVE-2026-48710 - contournement d'authentification par en-tête Host dans Starlette/FastAPI

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.