安全事件
BadHost CVE威胁325M下载量的Starlette栈 AI基础设施安全告急
发布时间：2026年05月28日 13:00:00CVE-2026-48710 BadHost漏洞影响FastAPI、vLLM、LiteLLM等325M周下载量的AI基础设施，黑客可通过注入HTTP Host头绕过授权验证。
安全研究人员发现一个名为"BadHost"的高危漏洞CVE-2026-48710，该漏洞影响基于Starlette的大量AI基础设施。
漏洞详情
漏洞原理：
- 攻击者通过在HTTP Host头注入单个字符
- 可绕过基于路径的授权验证机制
- 影响Starlette 1.0.1以下所有版本
影响范围： Starlette是Python ASGI框架，被众多AI工具采用：
| 项目 | 周下载量 | 用途 |
|---|---|---|
| FastAPI | 325M | Web框架 |
| vLLM | 数十M | LLM推理 |
| LiteLLM | 数M | LLM网关 |
| MCP服务器 | 众多 | AI集成 |
修复方案
- 升级版本：Starlette 1.0.1已修复此漏洞
- 检查配置：确保Web服务器正确验证Host头
- stdio模式：本地Claude Code等stdio模式MCP服务器不受影响
安全建议
专家建议：
- 立即升级所有使用Starlette的服务
- 检查MCP服务器配置
- 启用HTTP请求验证
- 监控异常访问日志
此事件再次提醒AI基础设施安全的重要性，开源依赖的快速迭代文化使深度依赖漏洞几乎不可避免。