CVE-2026-84376 in Astro
Tóm tắt
Bởi VulDB • 02/09/2026
Astro là một framework web dành cho các trang web dựa trên nội dung. Trước phiên bản 7.2.4, Astro đã loại bỏ đường dẫn gốc không phải root được cấu hình khỏi tên đường dẫn yêu cầu bằng cách sử dụng kiểm tra tiền tố chuỗi mà không xác minh ranh giới phân đoạn đường dẫn. Với giá trị base là "/app", một yêu cầu đến "/appX/admin" sẽ được giải quyết nội bộ thành tuyến bảo vệ "/admin", trong khi middleware quan sát thấy "/appX/admin" trong context.url.pathname. Trong các ứng dụng ủy quyền cho các tuyến có tiền tố base bằng cách kiểm tra context.url.pathname, kẻ tấn công từ xa chưa xác thực có thể bỏ qua cơ chế ủy quyền dựa trên pathname của middleware và truy cập vào các tuyến được bảo vệ. Vấn đề này đã được sửa chữa trong phiên bản 7.2.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.