CVE-2026-48710
Starlette è un framework/toolkit ASGI leggero. Prima della versione 1.0.1, l'header di richiesta HTTP `Host` non veniva validato prima di essere utilizzato per ricostruire `request.url`. Poiché l'algoritmo di routing si basa sul percorso HTTP grezzo mentre `request.url` viene ricostruito dall'header `Host`, un header malformato potrebbe fare in modo che `request.url.path` differisca dal percorso effettivamente richiesto. I middleware e gli endpoint che applicano restrizioni di sicurezza basate su `request.url` (anziché sul percorso `scope` grezzo) potrebbero quindi essere bypassati. Gli utenti dovrebbero aggiornare a una versione maggiore o uguale alla versione 1.0.1, che valida l'header `Host` rispetto alla grammatica di RFC 9112 §3.2 / RFC 3986 §3.2.2 durante la costruzione di `request.url` e ricorre a `scope["server"]` per i valori malformati.
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 2 set 2026
- Le agenzie federali statunitensi devono correggerla entro il 16 set 2026 (direttiva BOD 22-01)
- Attaccata 1 giorno prima che la vulnerabilità fosse resa pubblica
- Usata in campagne ransomware
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fonte: CISA KEV · 2 set 2026 2 set 2026 27 ago 2026 26 ago 2026 26 mag 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| encode | starlette | < 1.0.1 |
| redhat | ai inference server | <= 3.3.5 |
| redhat | ansible automation platform | 2.6 |
| redhat | migration toolkit for applications | < 8.2.0 |
| redhat | openshift ai | < 3.3.5 |
| redhat | openshift lightspeed | - |
| redhat | satellite | 6.17 |
| redhat | enterprise linux ai | 3.0 |
Articoli correlati
PoeLLM sfrutta servizi di IA esposti per creare una rete di mining con 2.100 server
Secondo Black Lotus Labs, PoeLLM compromette server esposti per mining e accessi remoti, usando una poesia GitHub per calcolare il C2.
La falla di N-able N-central sfruttata attivamente consente l'esecuzione remota di codice prima dell'autenticazione
CISA conferma sfruttamento attivo di CVE-2026-86218 in N-able N-central: RCE pre-autenticazione con CVSS 9,8. Aggiorna a Hotfix 4 entro l'11 settembre.
PostgreSQL, falla nel logical decoding permette di eseguire codice come utente `postgres`
CVE-2026-6471 PostGREShell permette RCE come postgres via logical decoding. Versioni colpite, attacco con dlopen e patch whitelist spiegate.
Sangoma Switchvox sotto attacco: SQL injection critica consente l’esecuzione di codice da remoto
CVE-2026-9586 in Sangoma Switchvox sfruttata attivamente: SQL injection via PhoneIP su /pa consente RCE. Aggiorna a 8.4.0.2 e verifica compromissione.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.