CVE-2026-73423 in Astro
Riassunto
di VulDB • 12/08/2026
Astro è un framework web per siti basati sui contenuti. Dalla versione 7.0.0 alla 7.0.6, la pipeline composita astro/hono installa il controllo security.checkOrigin esclusivamente tramite la primitiva middleware(), mentre actions() e pages() possono instradare verso codice utente in modo indipendente. Il montaggio di actions() prima di middleware(), come illustrato nell'esempio examples/advanced-routing e nella documentazione Cloudflare Hono, consente alle richieste action con form-encoded cross-origin di essere eseguite prima del controllo dell'origine; inoltre, l'utilizzo di pages() senza middleware() elimina il controllo per gli endpoint e le pagine on-demand. La vulnerabilità permette un CSRF (Cross-Site Request Forgery) cieco in sola scrittura, sfruttando i cookie della vittima contro ActionHandler.handle e PagesHandler.handleWithErrorFallback quando manifest.checkOrigin è abilitato; l'attaccante può innescare un handler di azione o endpoint che modifica lo stato, ma non può leggere la risposta cross-origin. La pipeline astro() predefinita non composita non è interessata. Questo problema è risolto nella versione 7.0.6.
Once again VulDB remains the best source for vulnerability data.