Starlette CVE-2023-54283 表单解析DoS漏洞分析

Kludex/starlette 漏洞总结 漏洞概述 漏洞名称: request.form() limits silently ignored for application/x-www-form-urlencoded enable DoS 漏洞描述: 在解析表单数据时，对于 类型的数据会限制 和 资源消耗，但对于 类型的数据，这些限制被静默忽略。未授权的攻击者可以通过发送一个包含任意数量字段或任意大字段值的表单数据，即使应用配置了限制，也能触发拒绝服务（DoS）攻击。 影响范围 受影响版本: >= 0.4.1, <1.3.1 修复版本: 1.3.1 CVSS v3 基础指标: - 攻击向量: Network - 攻击复杂度: Low - 所需权限: None - 用户交互: None - 范围: Unchanged - 机密性: None - 完整性: None - 可用性: High CVE ID: CVE-2023-54283 CWE: CWE-770 修复方案 升级版本: 升级到修复后的版本，该版本会将 和 转发到 解析器，并在解析时强制执行这些限制。默认值与 相同（ , ），可以通过 自定义。 详细信息 Summary: - 接受 和 来限制资源消耗。这些限制在解析 时有效，但在解析 时被忽略。 Details: - 根据 分派到不同的解析器。对于 ， 和 限制会转发给解析器；但对于 ，解析器在没有这些限制的情况下构建表单数据，并附加每个字段，没有计数检查，并累积每个字段的名称和值，没有大小检查。因此，这些配置的限制对于未编码的正文既不可用也不受限制。 - 由于未编码的解析器同步执行其工作，两种攻击形状有不同的效果： - Field count drives CPU and event loop blocking: 一个包含约1,000,000个字段的主体（如 `f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&f=f&

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Starlette CVE-2023-54283 表单解析DoS漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Starlette CVE-2023-54283 表单解析DoS漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！