Litestar to framework ASGI (Asynchronous Server Gateway Interface). W wersjach przed 2.20.0 wpisy whitelist w litestar.middleware.allowed_hosts były kompilowane do wzorców regex w sposób umożliwiający zachowanie specjalnego znaczenia metaznaków regex (np. . dopasowuje dowolny znak). Pozwala to na bypass, gdzie atakujący podaje host, który pasuje do regex, ale nie jest zamierzonym literalnym hostem. Podatność została naprawiona w wersji 2.20.0.
▸ Pokaż oryginał (EN)
Litestar is an Asynchronous Server Gateway Interface (ASGI) framework. Prior to 2.20.0, in litestar.middleware.allowed_hosts, allowlist entries are compiled into regex patterns in a way that allows regex metacharacters to retain special meaning (e.g., . matches any character). This enables a bypass where an attacker supplies a host that matches the regex but is not the intended literal hostname. This vulnerability is fixed in 2.20.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:NLitestar
APPLitestar< 2.20.0
Powiązane podatności
Litestar is an Asynchronous Server Gateway Interface (ASGI) framework. Prior to 2.20.0, CORSConfig.allowed_ori...
Litestar is an Asynchronous Server Gateway Interface (ASGI) framework. Prior to version 2.13.0, the multipart ...
Litestar to framework ASGI. Przed wersją 2.20.0 FileStore mapuje klucze cache'a na nazwy plików przy użyciu no...