Uma vulnerabilidade crítica, denominada "BadHost" (CVE-2026-48710), foi identificada no framework web Starlette, colocando milhares de aplicações alimentadas por IA e serviços de API em risco de ataques. A falha permite que atacantes manipulem como os servidores processam solicitações de entrada, possivelmente contornando controles de autenticação e obtendo acesso não autorizado.
Detalhes Técnicos
A vulnerabilidade afeta versões do Starlette anteriores à 1.0.1, um framework fundamental amplamente utilizado em aplicações baseadas em FastAPI que alimentam infraestrutura moderna de IA, incluindo servidores de inferência LLM e agentes de IA.
A CVE-2026-48710 tem uma pontuação CVSS de 6,5 (MÉDIO) e foi publicada em 2026-05-26T21:54:54.393Z.
A falha ocorre porque o cabeçalho de solicitação HTTP Host não é validado antes de ser usado para reconstruir request.url, permitindo que um cabeçalho malformado faça com que request.url.path difira do caminho que foi realmente solicitado.
Isso pode permitir que atacantes contornem restrições de segurança baseadas em request.url, afetando a segurança de aplicações e APIs.
Ações Recomendadas
Atualizar o Starlette para a versão 1.0.1 ou superior, que valida o cabeçalho Host de acordo com a gramática da RFC 9112 §3.2 / RFC 3986 §3.2.2 ao construir request.url.
Implementar validações adicionais de segurança para solicitações de entrada para mitigar possíveis ataques.
Monitorar aplicações e APIs para detecção de atividades suspeitas.
