רשות הסייבר האמריקאית CISA הוסיפה השבוע לקטלוג הפגיעויות המנוצלות בפועל (KEV) פגם בספריית Starlette — מסגרת עבודה פייתונית נפוצה שעליה מבוססים שירותי רשת רבים, ביניהם FastAPI. הפגיעות מאפשרת לעקוף בדיקות אבטחה מבוססות-נתיב, כולל במקרים מסוימים חסמי הרשאה.
| מזהה | CVE-2026-48710 |
| מוצר וגרסאות מושפעות | Starlette 0.8.3 ועד לפני 1.0.1 |
| חומרה (CVSS) | 6.5 (בינונית לפי הציון הרשמי; החוקרים שגילו את הפגם מציינים שההשפעה בפועל, בשילוב עם קוד אפליקטיבי שמסתמך על הנתיב, יכולה להיות חמורה בהרבה) |
| מנוצל בפועל | כן — נוספה לקטלוג KEV של CISA ב-2 בספטמבר 2026 |
| סטטוס תיקון | זמין — Starlette 1.0.1 |
מה קרה
עד לגרסה 1.0.1, Starlette לא אימתה את כותרת ה-Host שמגיעה בבקשת ה-HTTP לפני שהשתמשה בה לבנייה מחדש של אובייקט request.url. תוקף שמזריק לכותרת תווים כמו /, ? או # יכול לגרום לכך שהנתיב שהאפליקציה "רואה" (request.url.path) יהיה שונה מהנתיב שבו שרת ה-ASGI בפועל משתמש לניתוב הבקשה. כל קוד אבטחה שמסתמך על request.url — למשל middleware שחוסם גישה לנתיבי ניהול פנימיים — עלול להתבלבל ולאפשר מעבר של בקשה שהייתה אמורה להיחסם.
CISA לא פרסמה פרטים על אופן הניצול בשטח, אך הוספת הפגיעות לקטלוג ה-KEV מחייבת גופים פדרליים אמריקאים לתקן בהתאם ללוח הזמנים שנקבע לה.
נקודות לשים לב
- עדכנו כל שירות המבוסס על Starlette (כולל אפליקציות FastAPI) לגרסה 1.0.1 ומעלה.
- אם אי אפשר לעדכן מיד — בדקו האם שרת ה-reverse proxy שלפני האפליקציה מבצע נרמול או אימות של כותרת ה-Host לפני העברת הבקשה, כדי לצמצם את החשיפה.
- אם קוד האבטחה באפליקציה שלכם (בקרות הרשאה, חסימת נתיבים) מסתמך על request.url.path ולא על הנתיב הגולמי מה-scope של ASGI — יש לבדוק את הלוגיקה הזו במפורש גם אחרי העדכון.
- אין פרטים פומביים על מזהי תקיפה (IoC) קונקרטיים; חפשו בלוגים בקשות עם ערכי Host חריגים שמכילים
/,?או#.
מקורות: CISA · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
