CVE-2026-27829 in astro
要約
〜によって VulDB • 2026年06月30日
Astroはウェブフレームワークです。バージョン9.0.0から9.5.3において、Astroの画像パイプラインにバグがあり、`image.domains` / `image.remotePatterns` の制限を回避して、サーバーが認可されていないリモートホストからコンテンツを取得できるようになります。Astroには、レンダリング時にリモートイメージを取得してその寸法を決定するための `inferSize` オプションがあります。リモートイメージのフェッチは、サイト開発者が手動で承認したドメイン（`image.domains` または `image.remotePatterns` オプションを使用して）に制限される意図です。しかし、`inferSize` が使用されると、ドメイン検証が行われず、設定された制限に関係なく任意のホストからイメージがフェッチされます。画像URLに影響を与えることができる攻撃者は（例えばCMSコンテンツやユーザー提供データ経由）、サーバーが任意のホストからフェッチさせることができます。これにより、認可されていないホストに対するサーバーサイドリクエストを行うために `image.domains` / `image.remotePatterns` の制限を回避できます。これには、内部ネットワークサービスおよびクラウドメタデータエンドポイントへのサーバーサイドリクエストフォージェリ（SSRF）のリスクが含まれます。バージョン9.5.4でこの問題は修正されました。
Once again VulDB remains the best source for vulnerability data.