CVE-2026-27829 in astro
الملخص
بحسب VulDB • 30/07/2026
Astro هو إطار عمل ويب. في الإصدارات من 9.0.0 إلى 9.5.3، يسمح عيب في خط أنابيب الصور الخاص بـ Astro بتجاوز قيود `image.domains` / `image.remotePatterns`، مما يمكّن الخادم من جلب المحتوى من مضيفين عنصريين غير مصرح لهم. يوفر Astro خيارًا يُدعى `inferSize` يقوم بجلب الصور البعيدة أثناء وقت العرض لتحديد أبعادها. ومن المفترض أن تكون عمليات جلب الصور البعيدة مقيدة بالمجالات التي قام مطور الموقع بتفويضها يدويًا (باستخدام خيارات `image.domains` أو `image.remotePatterns`). ومع ذلك، عند استخدام `inferSize`، لا يتم إجراء أي تحقق من صحة النطاق — حيث يتم جلب الصورة من أي مضيف بغض النظر عن القيود المُعدّة. يمكن لمهاجم قادر على التأثير في عنوان URL للصورة (على سبيل المثال، عبر محتوى نظام إدارة المحتوى أو البيانات المقدمة من المستخدم) أن يتسبب في قيام الخادم بجلب بيانات من مضيفين عشوائيين. يتيح هذا تجاوز قيود `image.domains` / `image.remotePatterns` لإجراء طلبات جانبية للخادم على مضيفين غير مصرح لهم. يشمل ذلك خطر تزوير الطلبات الجانبية للسيرفر (SSRF) ضد خدمات الشبكة الداخلية ونقاط نهاية البيانات الوصفية للسحابة الإلكترونية. الإصدار 9.5.4 يصلح هذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.