| タイトル | EncodeのStarletteにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性 |
|---|---|
| 概要 | Starlette は軽量な ASGI フレームワーク／ツールキットです。バージョン 0.4.1 から 1.3.1 まで、request.form() はフォームデータの解析中にリソース消費を制限するために max_fields と max_part_size を受け入れます。これらの制限は multipart/form-data に対して適用されますが、application/x-www-form-urlencoded に対しては黙って無視されます。そのため、認証されていない攻撃者は、アプリケーションが制限を設定していた場合でも、任意の数のフィールドや任意に大きなフィールドを含む urlencoded ボディを送信することが可能です。この脆弱性はバージョン 1.3.1 で修正されました。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月22日0:00 |
| 登録日 | 2026年6月29日11:12 |
| 最終更新日 | 2026年6月29日11:12 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Encode |
| Starlette 0.4.1 以上 1.3.1 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月29日] 掲載 |
2026年6月29日11:12 |
| 概要 | Starlette is a lightweight ASGI framework/toolkit. From 0.4.1 until 1.3.1, request.form() accepts max_fields and max_part_size to bound resource consumption while parsing form data. These limits are enforced for multipart/form-data, but silently ignored for application/x-www-form-urlencoded. An unauthenticated attacker can therefore send a urlencoded body with an arbitrarily large number of fields or an arbitrarily large field, even when the application configured limits it believed would apply. This vulnerability is fixed in 1.3.1. |
|---|---|
| 公表日 | 2026年6月23日3:16 |
| 登録日 | 2026年6月27日4:11 |
| 最終更新日 | 2026年6月27日4:16 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:encode:starlette:*:*:*:*:*:python:*:* | 0.4.1 | 1.3.1 | |||