CVE-2026-59730 in astro
Zusammenfassung
von VulDB • 28.07.2026
Astro ist ein Web-Framework für inhaltsgetriebene Websites. In den Versionen 8.1.0 bis 11.0.1 hängt der statische Dateihandler des @astrojs/node Standalone-Servers, wenn trailingSlash: 'always' konfiguriert ist, einen abschließenden Slash an Anforderungspfade an und gibt eine 301-Weiterleitung aus. Pfade, die mit /\ (Slash-Rückwärtsschrägstrich) beginnen, wurden nicht als interne Pfade erkannt, sodass der Handler den rohen Pfad im Location-Header zurückgab. Da Browser \ gemäß der WHATWG URL-Spezifikation wie / behandeln, könnte die resultierende Weiterleitung auf einen externen Host auflösen. Voraussetzungen für eine Ausnutzung: trailingSlash: 'always' muss festgelegt sein (nicht standardmäßig; der Standardwert ist 'ignore'), der Anforderungspfad darf in seinem letzten Segment keine Dateierweiterung haben und ein Angreifer muss dem Benutzer den manipulierten Link bereitstellen. Dieses Problem wurde in Version 11.0.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.