Защитная памятка по Starlette-Admin и GHSA-6753-gr46-6wpr: граница версий, runtime-инвентарь, безопасный regression-тест, стоп-критерии, канарейка, rollback и очищенный пакет владельцу.
Решение в одном абзаце
GHSA-6753-gr46-6wpr подтверждает отдельную проблему в Starlette-Admin: непроверенное имя поля могло дойти до слоя запроса и вызвать внутреннюю ошибку вместо управляемого отказа. Граница применимости — Starlette-Admin до 0.16.1 при ручной передаче order_by, не разрешённого конфигурацией представления. Прямой безопасный ответ: сначала доказать runtime-версию и достижимость именно этой функции, затем обновить starlette-admin до 0.16.1 и сверить allowlist sortable fields у каждой чувствительной ModelView. Наличие продукта в inventory ещё не доказывает уязвимость, а отсутствие жалоб не доказывает исправление. Вердикт формулируют как passed, failed, blocked или not affected by reachability; последний требует проверяемого доказательства отключённого пути.
Доказательство версии и функции
Инвентаризация для Starlette-Admin должна соединить четыре слоя: установленный artifact, фактически активную функцию, границу доверия и наблюдаемый decision. Краткая форма — «view | requested order_by | configured sortable | HTTP class | schema detail exposed». Сверьте runtime build с dependency resolver, checksum и первичной release-записью; downstream backport требует отдельного доказательства. Не подменяйте это banner, image tag или версией CLI на другом host. Оставляйте только обезличенные identifiers теста: hostname, IP, account, секреты, пользовательские объекты и environment dump в доказательство не входят. Неопределённый слой помечается blocked.
Безопасный regression fixture
Используйте изолированный стенд, synthetic data и восстановимый snapshot. Безопасный отрицательный контроль: на модели с публичным, скрытым и несортируемым синтетическими полями сравнить штатную сортировку и запросы к двум запрещённым именам; они не должны давать stack trace или раскрывать схему. Сначала запишите baseline на текущей разрешённой сборке без активного эксплуатационного payload, затем повторите тот же сценарий на исправленной версии. Passed означает совпадение заранее объявленного security decision и сохранение штатной функции. Timeout, пустой ответ, один HTTP status или тишина журнала не считаются успехом: они могут означать неверный маршрут, crash или потерю telemetry.
Канарейка и совместимый rollback
Remediation из GHSA-6753-gr46-6wpr внедряйте через малую канарейку: обновить starlette-admin до 0.16.1 и сверить allowlist sortable fields у каждой чувствительной ModelView. До неё снимите SHA-256 текущего артефакта, резервную копию состояния, lockfile или digest и ожидаемое время восстановления. Канарейка получает синтетический объект и минимальную роль, но проходит тот же кодовый путь. Зелёный результат включает runtime identity, обычную функцию, controlled negative case, отсутствие новых restart/error классов и возврат метрик к baseline. Если формат состояния изменился, прежняя версия может не прочитать новые данные, поэтому совместимость rollback доказывают отдельно.
Красные флаги результата
Стоп-линия для этой темы: тест выполняется на таблице пользователей, приложение пишет traceback с данными или для проверки приходится включать debug mode. При её срабатывании остановите опыт, сохраните только обезличенные признаки и восстановите snapshot. Не расширяйте тест, чтобы добиться воспроизведения. Ложнозелёные сигналы: один health endpoint, package metadata без runtime, успешное TCP-соединение, отсутствие публичного exploit и отсутствие пользовательских обращений. Эти признаки полезны для диагностики, но не отвечают на конкретный security decision и не заменяют первичную advisory-запись.
Особенность этого компонента
Здесь цель — не просто убрать 500, а доказать, что клиент не управляет произвольным именем колонки. Игнорирование неверного параметра и явный 4xx могут быть допустимы, если поведение документировано. В любом варианте ответ не содержит имя внутренней таблицы, SQL и traceback. Отдельно проверяют descending prefix и relationship fields. Результат считается самостоятельным только при сохранённой матрице до/после, заранее заданном expected decision и проверенном возврате. Если эта практическая развилка уже покрыта внутренней инструкцией, правильное действие — обновить её, а не создавать соседний URL под вариант названия продукта.
Пакет для технического владельца
Владельцу передают GHSA-6753-gr46-6wpr, точную версию до и после, URL первичного источника, SHA-256 артефакта, timestamp Europe/Moscow и одну очищенную строку «view | requested order_by | configured sortable | HTTP class | schema detail exposed». Добавьте expected и observed decision, длительность ограниченного окна, backup/rollback status и один обезличенный error-class. Удалите secrets, абсолютные домашние пути, IP, account ids, session values и содержимое пользовательских объектов. Если reachability не подтверждена, честный статус blocked; advisory не доказывает, что конкретная установка была затронута.
Материал подготовлен редакцией VOne с помощью ИИ по открытым официальным и первичным источникам; факты, версии и ссылки перепроверены. Реальные пользовательские данные, активные payload и вымышленные результаты тестов не использовались.
Источники и проверка
- GitHub Advisory Database: GHSA-6753-gr46-6wpr проверено 2026-08-30
- PyPI: starlette-admin 0.16.1 проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.