Versões afetadas do Starlette-Admin antes do 0.16.1 não validar corretamente os parâmetros de sorte e pesquisa fornecidos pelo usuário contra as listas de allows de campos configuradas. Enquanto a interface de usuário administrativa restringe os campos disponíveis com base na configuração do campo, o backend aceita nomes arbitrários de campos fornecidos através de solicitações API. Um usuário autenticado pode enviar pedidos criados para ordenar ou filtrar registros usando campos que não são destinados a ser pesquisados ou classificados. Além disso, fornecer nomes de campos inválidos ou nomes de atributos especiais do Python pode desencadear exceções não manipuladas que resultam em HTTP 500 respostas. Um usuário autenticado com acesso aos endpoints da lista afetada pode. * Restrições de interface de contornação pretendidas e executar triagem ou filtragem em campos que não são configurados como pesquisables ou triáveis. * Cause falha nas solicitações de API afetadas com HTTP 500 respostas fornecendo nomes de campos inválidos ou nomes especiais de atributos Python, como `metadata` ou `__class___`.
Esta vulnerabilidade pode resultar em uso não autorizado de funcionalidade de consulta e condições limitadas de negação de serviço que afetam o objetivo alvo. Todas as versões anteriores 0.16.1. Não há soluções conhecidas. Os usuários devem atualizar para a versão 0.16.1 ou mais tarde.
Registro de aconselhamento: GHSA- 6753 - gr 46 - 6 Wpr. Identificadores relacionados: CVE- 2026 - 54553. Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 26 T 14: 14: 37.000 Z e lista a sua última modificação como 2026 - 08 - 26 T 14: 14: 37.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L.
Software afetado e informações de versão: pacote PyPI starlette-admin — ECOSISTEM: introduzido 0, corrigido 0.16.1. Classificação e evidência: identificadores de fraqueza CWE- 200, CWE- 248, CWE- 602, CWE- 639. O registro contém 6 suporte de referências nestes tipos: WEB, PACKAGE.