漏洞概述 漏洞名称: BadHost CVE编号: CVE-2026-48710 描述: 一个字符注入到HTTP Host头中，绕过基于路径的授权。该漏洞存在于Starlette（FastAPI的核心）中，影响Python AI工具生态系统。 发现者: X41 D-Sec CVSS评分: 6.5（中等） 影响范围 受影响版本: Starlette >= 0.8.3, < 1.0.1 下游影响: FastAPI、LiteLLM、vLLM、Text Generation Inference、OpenAI-shim代理、MCP服务器、代理网关、评估仪表板、模型管理UI等。 利用条件: 无需认证，适合大规模扫描。 修复方案 主要修复: 升级Starlette到1.0.1或更高版本。 次要修复: - 替换 和 为 。 - 使用反向代理拒绝畸形Host头。 - 对于HTTP/3终止的前端，测试Host头处理。 POC代码 其他信息 在线扫描器: badhost.org 参考链接: - CVE-2026-48710 - GHSA-86gp-5c9j-p5mr - X41-2026-002 - RFC 9112 §3.2, RFC 3986 §3.2.2, CWE-436