CVE-2026-73423 in Astro
الملخص
بحسب VulDB • 12/08/2026
Astro هو إطار عمل ويب لمواقع الويب القائمة على المحتوى. من الإصدار 7.0.0 حتى 7.0.6، يتم تثبيت `security.checkOrigin` في خط أنابيب astro/hono القابل للتكوين فقط عبر الدالة المساعدة (primitive) `middleware()`، بينما يمكن لـ `actions()` و `pages()` توجيه التنفيذ إلى رمز المستخدم بشكل مستقل. يؤدي تركيب `actions()` قبل `middleware()`، كما هو موضح في مثال examples/advanced-routing وفي وثائق Cloudflare Hono، إلى تنفيذ طلبات الإجراء المشفرة بتنسيق نموذج عبر النطاق (cross-origin form-encoded) قبل إجراء فحص المصدر الأصلي؛ واستخدام `pages()` بدون `middleware()` يتسبب في إلغاء هذا الفحص بالنسبة للنقاط النهائية والصفحات التي يتم استدعاؤها عند الطلب. تتيح هذه الثغرة هجمات تزوير طلبات الموقع المتبادل (CSRF) العمياء ذات الكتابة فقط، باستخدام ملفات تعريف الارتباط الخاصة بالضحية ضد الدالتين ActionHandler.handle و PagesHandler.handleWithErrorFallback عندما يكون خيار manifest.checkOrigin مفعّلاً؛ حيث يمكن للمهاجم تحفيز إجراء أو معالج نقطة نهاية يغير الحالة، لكنه لا يستطيع قراءة الاستجابة عبر النطاق. خط الأنابيب astro() الافتراضي غير القابل للتكوين ليس متأثراً بهذه المشكلة. تم إصلاح هذه الثغرة في الإصدار 7.0.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.