CVE-2026-89267

ŚrednieCVSS 4.3

Opublikowano: 12/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

starlette-admin w wersjach od 0.16.1 do 0.17.1 nie wymusza listy dozwolonych searchable_fields, gdy jest ona skonfigurowana jako pusta lista, co pozwala uwierzytelnionym użytkownikom filtrować pola nieprzeznaczone do wyszukiwania. Atakujący może wysyłać strukturalne zapytania filtrujące przez parametr where w API listy, aby wykonywać operacje równości i porównania na wykluczonych kolumnach.

Ocena ryzyka

Uwierzytelniony użytkownik może filtrować i wywnioskować wartości z kolumn, które nie powinny być wyszukiwalne, co może prowadzić do wycieku danych. Ryzyko dotyczy aplikacji używających starlette-admin z pustą listą searchable_fields.

Rekomendacja

Zaktualizuj starlette-admin do wersji nowszej niż 0.17.1 lub zastosuj poprawkę dostawcy. Do czasu aktualizacji rozważ ograniczenie dostępu do API listy lub zdefiniowanie niepustej listy searchable_fields.

Inne podatności w starlette-admin

CVE-2026-54553Średnie
Starlette-Admin przed 0.16.1 nie waliduje nazw pól order_by i where względem list dozwolonych sortable_fields i searchable_fields. Uwierzytelniony użytkownik może sortować lub filtrować po niedozwolonych polach, co prowadzi do ograniczonego ujawnienia informacji oraz możliwych błędów HTTP 500.

Oryginalny opis (angielski, źródło NVD)

starlette-admin versions 0.16.1 through 0.17.1 fail to enforce the searchable_fields allowlist when configured as an empty list, allowing authenticated users to filter on non-searchable fields. Attackers can submit structured filter queries via the list API's where parameter to perform equality and comparison operations on excluded columns.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS