CVE-2026-48710
Starlette est un framework/toolkit ASGI léger. Avant la version 1.0.1, l'en-tête de requête HTTP `Host` n'était pas validé avant d'être utilisé pour reconstruire `request.url`. Étant donné que l'algorithme de routage s'appuie sur le chemin HTTP brut tandis que `request.url` est reconstruit à partir de l'en-tête `Host`, un en-tête malformé pouvait faire que `request.url.path` diffère du chemin réellement demandé. Les middleware et endpoints qui appliquent des restrictions de sécurité basées sur `request.url` (plutôt que sur le chemin `scope` brut) pouvaient donc être contournés. Les utilisateurs doivent passer à une version supérieure ou égale à la version 1.0.1, qui valide l'en-tête `Host` selon la grammaire des RFC 9112 §3.2 / RFC 3986 §3.2.2 lors de la construction de `request.url` et recourt à `scope["server"]` pour les valeurs malformées.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 2 sept. 2026
- Les agences fédérales américaines doivent la corriger avant le 16 sept. 2026 (BOD 22-01)
- Attaquée 1 jour avant la divulgation publique de la faille
- Utilisée dans des campagnes de rançongiciel
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 2 sept. 2026 2 sept. 2026 27 août 2026 26 août 2026 26 mai 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| encode | starlette | < 1.0.1 |
| redhat | ai inference server | <= 3.3.5 |
| redhat | ansible automation platform | 2.6 |
| redhat | migration toolkit for applications | < 8.2.0 |
| redhat | openshift ai | < 3.3.5 |
| redhat | openshift lightspeed | - |
| redhat | satellite | 6.17 |
| redhat | enterprise linux ai | 3.0 |
Articles liés
PoeLLM s’appuie sur des services d’IA exposés pour créer un réseau de minage de 2 100 serveurs
PoeLLM détourne des serveurs IA exposés pour miner des cryptomonnaies, donner un accès distant et scanner d'autres services, selon Black Lotus Labs.
Une faille N-able N-central activement exploitée permet l’exécution de code à distance avant authentification
La faille CVE-2026-86218 de N-able N-central permet une RCE sans authentification, exploitée activement. CISA alerte, installez le Hotfix 4.
PostgreSQL, une faille du logical decoding permet d’exécuter du code en tant qu’utilisateur `postgres`
CVE-2026-6471 PostGREShell : une faille du logical decoding PostgreSQL permet d'exécuter du code en postgres via un compte REPLICATION.
Sangoma Switchvox sous attaque : une injection SQL critique permet l’exécution de code à distance
CVE-2026-9586 : faille injection SQL critique sur Sangoma Switchvox exploitée, exécution de code à distance. Mettez à jour vers 8.4.0.2.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.