CVE-2026-33768 in astro
要約
〜によって VulDB • 2026年06月02日
Astroはウェブフレームワークです。バージョン10.0.2より前では、@astrojs/vercelサーバーレスのエントリポイントがx-astro-pathヘッダーおよびx_astro_pathクエリパラメータを読み取り、内部リクエストパスを書き換えていましたが、認証は全く行われていませんでした。Edge Middlewareが設定されていないデプロイメントでは、これにより誰でもVercelのプラットフォームレベルのパス制限を完全に回避できます。この書き換えは元のHTTPメソッドとボディを保持するため、GETに限定されません。POST、PUT、DELETEもすべて書き換えられたパスに到達します。/admin/*をブロックするファイアウォールルールは、リクエストがPOST /api/health?x_astro_path=/admin/delete-userとして到着した場合、何の効果も持ちません。この問題はバージョン10.0.2で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.