⬇ Scarica il santino: ·
San BadHost, che mentiva sul proprio indirizzo
Patrono dei framework ASGI, delle intestazioni Host prese per buone e dei middleware che proteggono il percorso sbagliato.
Vita
Il 22 maggio 2026 fu reso pubblico BadHost (CVE-2026-48710), trovato da X41 D-Sec durante un audit finanziato da OSTIF in Starlette, il framework su cui poggiano FastAPI e molti servizi di intelligenza artificiale. Prima della versione 1.0.1 l'intestazione Host non veniva controllata prima di ricostruire request.url: così il percorso visto dal middleware di sicurezza poteva differire da quello effettivamente servito, e i controlli basati sull'URL venivano aggirati. CISA lo inserì poi tra le vulnerabilità sfruttate.
Preghiera
O San BadHost, che ti presenti con un indirizzo che non è il tuo, fa' che i nostri middleware guardino il percorso vero. Amen.
Come si festeggia
Si festeggia aggiornando Starlette alla 1.0.1 e basando i controlli sul percorso grezzo, non sull'URL ricostruito.
Chi si fida dell'Host, serve la porta sbagliata.