ثغرة حرجة في Starlette تهدد ملايين وكلاء الذكاء الاصطناعي
اكتُشفت ثغرة حرجة باسم BadHost في Starlette، الذي يُحمَّل 325 مليون مرة أسبوعيًا. وتهدد الثغرة ملايين وكلاء الذكاء الاصطناعي وتطبيقات الويب والخدمات السحابية. على المطورين تحديث الحزمة بشكل عاجل.
معالج بواسطة الذكاء الاصطناعي من Ars Technica؛ بتحرير Hamidun News
اكتُشفت ثغرة حرجة تحمل الاسم الرمزي BadHost في Starlette، أحد أشهر أطر عمل الويب في لغة Python. يُحمَّل هذا الحزمة أكثر من 325 مليون مرة أسبوعيًا، ما يجعل الثغرة من أخطر الثغرات التي تواجه الإنترنت العالمي ومنظومة وكلاء الذكاء الاصطناعي.
كيف تعمل الثغرة
BadHost ثغرة في التحقق من ترويسات HTTP من نوع Host في Starlette. وهي تتيح للمهاجم تجاوز فحوص الأمان في تطبيقات الويب وتنفيذ هجمات خطيرة. وعلى وجه التحديد، تتيح الثغرة ما يلي:
- تجاوز آليات الحماية CORS وCSRF
- إعادة توجيه حركة البيانات إلى خادم خبيث
- تنفيذ هجمات Host Header Injection
- اختراق جلسات الويب وملفات تعريف الارتباط الخاصة بالمصادقة
- تنفيذ إعادة توجيه مفتوحة (open redirect) إلى أي مضيف خارجي
تُعد هذه الثغرة حرجة لأن Starlette مكتبة ASGI منخفضة المستوى، تقوم عليها آلاف أطر عمل الويب، ومنها FastAPI، الأكثر شعبية بينها. وبذلك ينتقل خلل واحد في Starlette إلى جميع التطبيقات التي تعتمد عليه.
حجم المشكلة
يُستخدم Starlette أساسًا لإطار FastAPI، أسرع أطر عمل الويب نموًا في Python. وخلال السنوات الثلاث الماضية، أصبح FastAPI معيارًا لبناء خوادم API والخدمات المصغّرة. وفي عصر الذكاء الاصطناعي، صار FastAPI المعيار الفعلي للجزء الخلفي من وكلاء الذكاء الاصطناعي وتطبيقات LLM والخدمات السحابية.
إن 325 مليون عملية تحميل أسبوعية لـ Starlette ليست مجرد رقم كبير، بل تعني أن الثغرة قد تطال ملايين وكلاء الذكاء الاصطناعي النشطين وتطبيقات الويب والشركات الناشئة والبنى السحابية المؤسسية.
«هذه إحدى أخطر الثغرات هذا العام على منظومة
Python»، بحسب ما يشير إليه باحثون في المجتمع التقني.
ما الذي يجب فعله
على المطورين تحديث Starlette بشكل عاجل إلى النسخة المصحَّحة. والتحقق من التعرض للثغرة بسيط: إذا كان مشروعك يستخدم Starlette أو FastAPI، بشكل مباشر أو غير مباشر، فقد تكون معرضًا للثغرة.
خطوات الحماية: تحديث Starlette إلى أحدث نسخة مصحَّحة عبر الأمر `pip install --upgrade starlette`، وتحديث FastAPI وجميع الحزم المعتمدة عليه، وإعادة تشغيل جميع التطبيقات والخدمات بعد التحديث، وفحص سجلات الوصول بحثًا عن أي نشاط مشبوه، وتحديث جميع وكلاء الذكاء الاصطناعي والروبوتات والخدمات السحابية.
على فرق DevOps أتمتة فحص التبعيات وتحديثها، كي تُطبَّق مثل هذه التصحيحات الحرجة خلال أيام لا أسابيع.
ماذا يعني ذلك
تمثل هذه الثغرة مثالًا واضحًا على هشاشة سلسلة التبعيات في منظومة Python. فخلل واحد في مكتبة منخفضة المستوى قد يعرّض ملايين التطبيقات للاختراق. وفي عصر تعمل فيه ملايين أنظمة الذكاء الاصطناعي المستقلة على الإنترنت، تصبح التحديثات الأمنية الحرجة مسألة بقاء لهذه الأنظمة.
على المؤسسات اعتماد مراقبة آلية للثغرات في تبعياتها، وإرساء عملية تحديث طارئ للأخطاء الحرجة.
أسئلة وأجوبة حول الخبر
ما أبرز التفاصيل حول كيف تعمل الثغرة؟
BadHost ثغرة في التحقق من ترويسات HTTP من نوع Host في Starlette. وهي تتيح للمهاجم تجاوز فحوص الأمان في تطبيقات الويب وتنفيذ هجمات خطيرة. وعلى وجه التحديد، تتيح الثغرة ما يلي: تجاوز آليات الحماية CORS وCSRF إعادة توجيه حركة البيانات إلى خادم خبيث تنفيذ هجمات Host Header Injection اختراق جلسات الويب وملفات تعريف الارتباط الخاصة بالمصادقة تنفيذ إعادة توجيه مفتوحة (open redirect) إلى أي مضيف خارجي تُعد هذه الثغرة حرجة لأن Starlette مكتبة ASGI منخفضة المستوى، تقوم عليها آلاف أطر عمل الويب، ومنها FastAPI، الأكثر شعبية بينها. وبذلك ينتقل خلل واحد في Starlette إلى جميع التطبيقات ال
ما أبرز التفاصيل حول حجم المشكلة؟
يُستخدم Starlette أساسًا لإطار FastAPI، أسرع أطر عمل الويب نموًا في Python. وخلال السنوات الثلاث الماضية، أصبح FastAPI معيارًا لبناء خوادم API والخدمات المصغّرة. وفي عصر الذكاء الاصطناعي، صار FastAPI المعيار الفعلي للجزء الخلفي من وكلاء الذكاء الاصطناعي وتطبيقات LLM والخدمات السحابية. إن 325 مليون عملية تحميل أسبوعية لـ Starlette ليست مجرد رقم كبير، بل تعني أن الثغرة قد تطال ملايين وكلاء الذكاء الاصطناعي النشطين وتطبيقات الويب والشركات الناشئة والبنى السحابية المؤسسية. «هذه إحدى أخطر الثغرات هذا العام على منظومة Python»، بحسب ما يشير إليه باحثون في المجتمع التقني.
ما أبرز التفاصيل حول ما الذي يجب فعله؟
على المطورين تحديث Starlette بشكل عاجل إلى النسخة المصحَّحة. والتحقق من التعرض للثغرة بسيط: إذا كان مشروعك يستخدم Starlette أو FastAPI، بشكل مباشر أو غير مباشر، فقد تكون معرضًا للثغرة. خطوات الحماية: تحديث Starlette إلى أحدث نسخة مصحَّحة عبر الأمر `pip install --upgrade starlette`، وتحديث FastAPI وجميع الحزم المعتمدة عليه، وإعادة تشغيل جميع التطبيقات والخدمات بعد التحديث، وفحص سجلات الوصول بحثًا عن أي نشاط مشبوه، وتحديث جميع وكلاء الذكاء الاصطناعي والروبوتات والخدمات السحابية. على فرق DevOps أتمتة فحص التبعيات وتحديثها، كي تُطبَّق مثل هذه التصحيحات الحرجة خلال أيام لا أسابي
Delegate Deep Research, Coding & Multi-Step Workflows to Nomad Agent
Deploy autonomous task execution with Nomad Agent (agent.nomadnet.ai) — automated web research, data synthesis, code generation, and MCP tool orchestration.
أهم ما في عالم الذكاء الاصطناعي — مرة كل أسبوع
سبع قصص مهمة فعلاً هذا الأسبوع، مختارة بعناية. بلا ضجيج ولا بيانات صحفية.
تم! تحقق من بريدك للتأكيد.