Die US-Sicherheitsbehörde CISA hat die Schwachstelle CVE-2026-48710 im weit verbreiteten Python-Framework Starlette am 2. September 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (KEV) aufgenommen. Angreifer nutzen den Fehler bereits aktiv, um Authentifizierungsprüfungen zu umgehen.
Manipulierter Host-Header vergiftet den Pfad
Kern des Problems ist eine fehlende Validierung des HTTP-Host-Headers. Starlette setzt die Eigenschaft request.url aus dem angreiferkontrollierten Host-Header und dem Anfragepfad zusammen und parst das Ergebnis erneut. Dadurch kann request.url.path von dem Pfad abweichen, den der ASGI-Server tatsächlich zum Routing verwendet. Prüft eine Middleware die Zugriffsrechte anhand von request.url.path, bewertet sie einen gefälschten Pfad, während im Hintergrund die eigentlich geschützte Route ausgeführt wird.
Das Ergebnis ist ein Authentifizierungs-Bypass für unauthentifizierte Angreifer aus dem Netz. Die Schwachstelle vom Typ CWE-444 (HTTP Request Smuggling) ist mit einem CVSS-Wert von 6.5 als mittelschwer eingestuft. Ihre Reichweite ist dennoch erheblich, da Starlette als Unterbau des populären Web-Frameworks FastAPI in zahllosen Produktiv-APIs steckt.
Update auf Version 1.0.1 einspielen
Die Entwickler haben den Fehler in Starlette 1.0.1 behoben. Diese Version validiert den Host-Header gegen die Vorgaben aus RFC 9112 und RFC 3986 und greift bei ungültigen Werten auf scope["server"] zurück. Betreiber sollten zeitnah aktualisieren; laut Sicherheitsforschern lässt sich die Lücke mit CVE-2026-42271 zu einer Remote-Code-Ausführung gegen LiteLLM-Instanzen verketten. Die CISA verpflichtet US-Bundesbehörden, die Lücke bis zum 16. September 2026 zu schließen.
Quellen: CISA KEV-Alert · GitLab Advisory Database · The Hacker News
