CVE-2026-48710
Starlette ist ein leichtgewichtiges ASGI-Framework/Toolkit. Vor Version 1.0.1 wurde der HTTP-`Host`-Request-Header nicht validiert, bevor er zur Rekonstruktion von `request.url` verwendet wurde. Da der Routing-Algorithmus auf dem rohen HTTP-Pfad basiert, während `request.url` aus dem `Host`-Header neu aufgebaut wird, konnte ein fehlerhafter Header dazu führen, dass `request.url.path` von dem tatsächlich angeforderten Pfad abweicht. Middleware und Endpunkte, die Sicherheitsbeschränkungen auf Grundlage von `request.url` (statt des rohen `scope`-Pfads) anwenden, konnten daher umgangen werden. Benutzer sollten auf eine Version größer oder gleich Version 1.0.1 aktualisieren, die beim Erstellen von `request.url` den `Host`-Header gegen die Grammatik von RFC 9112 §3.2 / RFC 3986 §3.2.2 validiert und für fehlerhafte Werte auf `scope["server"]` zurückgreift.
Aktiv ausgenutzt
- Seit dem 02.09.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 16.09.2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
- In Ransomware-Kampagnen eingesetzt
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 02.09.2026 02.09.2026 27.08.2026 26.08.2026 26.05.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| encode | starlette | < 1.0.1 |
| redhat | ai inference server | <= 3.3.5 |
| redhat | ansible automation platform | 2.6 |
| redhat | migration toolkit for applications | < 8.2.0 |
| redhat | openshift ai | < 3.3.5 |
| redhat | openshift lightspeed | - |
| redhat | satellite | 6.17 |
| redhat | enterprise linux ai | 3.0 |
Verwandte Artikel
PoeLLM nutzt offen erreichbare KI-Dienste zum Aufbau eines Mining-Netzwerks mit 2.100 Servern
PoeLLM nutzt offen erreichbare Server für Krypto-Mining, Remote-Shell und Scans; laut Black Lotus Labs über 2.100 kompromittierte Systeme.
Aktiv ausgenutzte Schwachstelle in N-able N-central ermöglicht Remote-Codeausführung vor der Authentifizierung
CVE-2026-86218 in N-able N-central ermöglicht RCE ohne Login und wird aktiv ausgenutzt. CISA fordert Patch auf Hotfix 4 bis 11.09.2026.
PostgreSQL: Schwachstelle im Logical Decoding ermöglicht Codeausführung als Benutzer `postgres`
CVE-2026-6471 erlaubt Codeausführung als postgres via Logical Decoding ohne Superuser. Betroffen: Versionen 14-18. Update auf 18.6, 17.11 u.a. nötig.
Sangoma Switchvox unter Beschuss: Kritische SQL-Injection ermöglicht Remote-Codeausführung
CVE-2026-9586 in Sangoma Switchvox wird aktiv ausgenutzt: SQL-Injection über /pa ermöglicht RCE. Jetzt auf 8.4.0.2 updaten und Logs prüfen.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.