CVE-2026-54553

Beschreibung

Starlette-Admin ist ein schnelles, schönes und erweiterbares Verwaltungsschnittstellen-Framework für FastAPI- und Starlette-Anwendungen. Vor 0.16.1 validiert die Listen-API nicht die vom Benutzer bereitgestellte order by und strukturierte Feldnamen mit den konfigurierten Listen sortable fields und searchable fields. Ein authentifizierter Benutzer mit Zugriff auf einen betroffenen Listenendpunkt kann beliebige Feldnamen an starlette admin/base.py und den BaseModelView-Validierungspfad übermitteln, wodurch Einschränkungen durch die administrative Benutzeroberfläche umgangen werden. Anfragen können Felder sortieren oder filtern, die nicht sortierbar oder durchsuchbar sein sollen, was zu einer begrenzten Informationsbelastung führt. Ungültige Feldnamen und spezielle Python-Attributnamen wie Metadaten und das Klassen-Dunder-Attribut können auch unbehandelte Ausnahmen und HTTP 500-Antworten auslösen, was zu einer begrenzten Denial-of-Service-Verweigerung für gezielte Anfragen führt. Dieses Problem wurde in Version 0.16.1 behoben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 0.16.1.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Oracle starlette-admin.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.