JVNDB-2026-021309

EncodeのStarletteにおけるクラスまたはコードを選択する外部から制御された入力の使用に関する脆弱性

Starletteは軽量なASGIフレームワークおよびツールキットです。バージョン1.0.1以下では、リクエストをディスパッチする際に、HTTPEndpointはHTTPメソッドを小文字化し、getattrで属性を参照してハンドラーを選択しますが、この参照は既知のHTTP動詞のセットに制限されていません。HTTPEndpointのサブクラスがmethods=引数を明示的に指定せずにRoute(...)を通じて登録されると、そのルートはメソッドを制限せず、すべてのメソッドがエンドポイントに到達します。小文字化した名前がエンドポイントサブクラスの属性と一致する非標準HTTPメソッドがエンドポイントに到達すると、その属性はリクエストハンドラーとして呼び出されます。攻撃者はこれを利用して、本来HTTPハンドラーとして意図されていなかった内部ヘルパーなどのメソッドに認可チェックなしで到達できます。StarletteベースのFastAPIのようなアプリケーションも影響を受けます。methods=を明示的に設定せずRoute(...)経由でHTTPEndpointサブクラスを登録し、そのサブクラスが非標準HTTP動詞の名前でリクエストを1つ受け取りレスポンスを返す追加メソッドを含む場合に問題が発生します。この問題はバージョン1.1.0で修正されました。

Encode

• Starlette 1.1.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`  Advisory  Kludex/starlette  GitHub

1. クラスまたはコードを選択する外部から制御された入力の使用(CWE-470) [その他]

1. CVE-2026-48817

1. National Vulnerability Database (NVD) : CVE-2026-48817
2. 関連文書 : Release Version 1.1.0  Kludex/starlette  GitHub

• [2026年06月29日]
    掲載