CVE-2026-48710

总结

Starlette 是一个轻量级 ASGI 框架/工具包。在 1.0.1 版本之前，HTTP `Host` 请求头在用于重建 `request.url` 之前未经过验证。由于路由算法依赖原始 HTTP 路径，而 `request.url` 是从 `Host` 头重建的，格式错误的头可能使 `request.url.path` 与实际请求的路径不一致。因此，基于 `request.url`（而非原始 `scope` 路径）应用安全限制的中间件和端点可能被绕过。用户应升级到大于或等于 1.0.1 的版本，该版本在构造 `request.url` 时会根据 RFC 9112 §3.2 / RFC 3986 §3.2.2 的语法验证 `Host` 头，并对格式错误的值回退到 `scope["server"]`。

• starlette-host-header-labPoC

  Starlette 主机头 URL 混淆实验室（X41-2026-002）- CVE-2026-48710

• BadHost-CVE-2026-48710-Exploit扫描仪

  用于CVE-2026-48710的检测扫描器 - Starlette/FastAPI中的Host头部认证绕过

• CVE-2026-48710PoC

  CVE-2026-48710漏洞验证代码