製品・ソフトウェアに関する情報
Vulnerability Search
EncodeのStarletteにおける誤って解決された名前や参照の使用に関する脆弱性
Title EncodeのStarletteにおける誤って解決された名前や参照の使用に関する脆弱性
Summary

Starletteは軽量なASGIフレームワークおよびツールキットです。バージョン1.3.0以前では、HTTPリクエストパスがrequest.urlの再構築前に検証されていませんでした。request.urlは{scheme}://{host}{path}を連結して再解析することで再構築されるため、先頭が/で始まらないパス（例えば@google.com）は再解析時に権限境界を移動させ、その結果request.url.hostnameおよびrequest.url.netlocが攻撃者によって制御される可能性があります。したがって、Hostヘッダーやscopeではなくrequest.url.hostnameを参照するコードは攻撃者が提供したホストを誤って信頼してしまう恐れがあります。この脆弱性はバージョン1.3.0で修正されました。

Possible impacts ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 22, 2026, midnight
Registration Date June 29, 2026, 11:12 a.m.
Last Update June 29, 2026, 11:12 a.m.
CVSS3.0 : 警告
Score 5.3
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Affected System
Encode
Starlette 1.3.0 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年06月29日]
  掲載		 June 29, 2026, 11:12 a.m.
NVD Vulnerability Information
CVE-2026-54282
Summary

Starlette is a lightweight ASGI framework/toolkit. Prior to 1.3.0, the HTTP request path is not validated before being used to reconstruct request.url. Because request.url is rebuilt by concatenating {scheme}://{host}{path} and re-parsing the result, a path that does not begin with / (for example @google.com) moves the authority boundary during re-parsing, so request.url.hostname and request.url.netloc become attacker-controlled. Code that reads request.url.hostname (rather than the Host header or scope) can therefore be misled into trusting an attacker-supplied host. This vulnerability is fixed in 1.3.0.

Publication Date June 23, 2026, 3:16 a.m.
Registration Date June 27, 2026, 4:11 a.m.
Last Update June 27, 2026, 4:18 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:encode:starlette:*:*:*:*:*:python:*:* 1.3.0
Related information, measures and tools
Common Vulnerabilities List