CVE-2025-64525 in astro

Zusammenfassung

von VulDB • 02.06.2026

Astro ist ein Web-Framework. In den Versionen von Astro 2.16.0 bis einschließlich 5.15.4, die On-Demand-Rendering nutzen, werden die Anforderungs-Header `x-forwarded-proto` und `x-forwarded-port` unsicher und ohne Sanitisierung zur URL-Erstellung verwendet. Dies hat mehrere Konsequenzen, wobei die wichtigsten folgende sind: Umgehung von durch Middleware geschützten Routen (nur über `x-forwarded-proto`), DoS durch Cache Poisoning (falls ein CDN vorhanden ist), SSRF (nur über `x-forwarded-proto`), URL-Pollution (potenzielles SXSS, falls ein CDN vorhanden ist) und WAF-Umgehung. Die Version 5.15.5 enthält einen Patch.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Zuständig: GitHub M
• Reservieren: 05.11.2025
• Veröffentlichung: 13.11.2025
• Moderieren: akzeptiert
• Eintrag: VDB-332378
• CPE: bereit
• CWE: CWE-918 (bestätigt)
• CVSS: 6.5 (CNA)
• EPSS: 0.01172
• KEV: nein
• Aktivitäten: very low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-64525
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-64525
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-64525/