CVE-2026-48060

WysokieCVSS 8.1

Opublikowano: 28/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Litestar, framework ASGI, w wersjach przed 2.20.0 jest podatny na wstrzykiwanie HTML, które może eskalować do Cross-Site Scripting (XSS). Podatność występuje, gdy używany jest silnik szablonów wraz z ochroną CSRF, a zawartość ciasteczka CSRF nie jest automatycznie escapowana przez silnik szablonów, jeśli jest skonfigurowany zgodnie z zaleceniami dokumentacji.

Ocena ryzyka

Organizacja narażona jest na ataki XSS, które mogą prowadzić do kradzieży sesji użytkowników, przejęcia kont lub wycieku danych, jeśli aplikacja korzysta z podatnej konfiguracji.

Rekomendacja

Zaleca się aktualizację Litestar do wersji 2.20.0 lub nowszej, która zawiera poprawkę.

Inne podatności w Litestar

CVE-2026-48061Średnie
Litestar przed wersją 2.22.0 zawiera podatność w AllowedHostsMiddleware, która pozwala atakującemu ominąć walidację dozwolonych hostów poprzez pominięcie nagłówka Host i ustawienie nagłówka X-Forwarded-Host na dozwoloną domenę. Ponieważ X-Forwarded-Host jest kontrolowany przez klienta, umożliwia to ataki typu host header injection.

Oryginalny opis (angielski, źródło NVD)

Litestar is an Asynchronous Server Gateway Interface (ASGI) framework. Prior to version 2.20.0, Litestar instances which use a template engine in conjunction with CSRF protection are vulnerable to HTML Injection which can be escalated to Cross Site Scripting due to the contents of the CSRF cookie being excluded from automatic escaping by the template engine when configured inline with documentation recommendations. This issue has been patched in version 2.20.0.