CVE-2026-73425 in Astro
요약
\~에 의해 VulDB • 2026. 08. 12.
Astro는 콘텐츠 중심 웹사이트를 위한 웹 프레임워크입니다. 버전 8.1.2 이전의 Astro Netlify 어댑터는 각 `image.remotePatterns` 항목을 정규식으로 변환하여 `.netlify/v1/config.json` 파일 내 `images.remote_images`(Netlify Image CDN 허용 목록)에 기록합니다. `packages/integrations/netlify/src/index.ts`의 `remotePatternToRegex()` 함수는 호스트명 값의 점을 이스케이프하지만, 리터럴 경로값은 `.`, `+`, `?`, `(`, `[`와 같은 정규식 메타문자들을 이스케이프하지 않고 보간(interpolate)합니다. 따라서 `/img/v1.0/file`과 같이 제한적인 경로는 메타문자와 인접한 다른 경로들(세그먼트를 가로지르는 경로 포함)에도 매칭됩니다. Netlify는 생성된 정규식을 직접 적용하며, Astro의 `matchPattern()` 헬퍼 함수는 요청을 다시 검증하지 않으므로, 선언된 경로가 제외하도록 의도되었음에도 이미 허용된 호스트에 대한 이미지 최적화가 가능해집니다. 이 문제는 버전 8.1.2에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.