p PatchFirst

CVE-2026-25478

CVE-2026-25478 · Litestar has a CORS origin allowlist bypass due to unescaped regex metacharacters in allowed origins

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Litestar is an Asynchronous Server Gateway Interface (ASGI) framework. Prior to 2.20.0, CORSConfig.allowed_origins_regex is constructed using a regex built from configured allowlist values and used with fullmatch() for validation. Because metacharacters are not escaped, a malicious origin can match unexpectedly. The check relies on allowed_origins_regex.fullmatch(origin). This vulnerability is fixed in 2.20.0.

CVSS 7.4 · Élevée · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • litestar

    Versions du logiciel
    • < 2.20.0: Concernée

    Aucun correctif publié

  • litestar PyPI

    Versions du logiciel
    • 2.19.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.19.0, < 2.20.0

    Mettez à jour vers 2.20.0

  • litestar PyPI

    Versions du logiciel
    • 1.0.0a0
    • 2.0.0
    • 2.0.0a3
    • 2.0.0a4
    • 2.0.0a5
    • 2.0.0a6
    • 2.0.0a7
    • 2.0.0b1
    • 2.0.0b2
    • 2.0.0b3
    • 2.0.0b4
    • 2.0.0rc1
    • 2.0.1
    • 2.1.0
    • 2.1.1
    • 2.10.0
    • 2.11.0
    • 2.12.0
    • 2.12.1
    • 2.13.0
    • 2.14.0
    • 2.15.0
    • 2.15.1
    • 2.15.2
    • 2.16.0
    • 2.17.0
    • 2.18.0
    • 2.19.0
    • 2.2.0
    • 2.2.1
    • 2.3.0
    • 2.3.1
    • 2.3.2
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.5.4
    • 2.5.5
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.6.4
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.8.0
    • 2.8.1
    • 2.8.2
    • 2.8.3
    • 2.9.0
    • 2.9.1
    Plages de versions concernées
    • ECOSYSTEM: < 2.20.0

    Mettez à jour vers 2.20.0

Sources originales

Vérifiez votre serveur →