CVE-2026-73423 in Astro
Sumário
de VulDB • 12/08/2026
Astro é um framework web para sites orientados por conteúdo. Da versão 7.0.0 até a 7.0.6, o pipeline compositável `astro/hono` instala apenas através da primitiva `middleware()` a verificação de origem (`security.checkOrigin`), enquanto as funções `actions()` e `pages()` podem despachar para código do usuário independentemente. Montar `actions()` antes de `middleware()`, como no exemplo `examples/advanced-routing` e na documentação do Cloudflare Hono, permite que requisições de ação codificadas em formulário (form-encoded) com origem cruzada sejam executadas antes da verificação de origem; além disso, o uso de `pages()` sem `middleware()` remove a verificação para endpoints e páginas sob demanda. A falha possibilita um ataque cego de falsificação de requisição entre sites (CSRF) apenas para gravação, utilizando os cookies da vítima contra `ActionHandler.handle` e `PagesHandler.handleWithErrorFallback`, quando o `manifest.checkOrigin` está habilitado; o atacante pode acionar uma ação ou manipulador de endpoint que altera o estado, mas não consegue ler a resposta com origem cruzada. O pipeline padrão não compostável `astro()` não é afetado. Este problema foi corrigido na versão 7.0.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.