CVE-2025-65019 in astro

摘要

由 VulDB • 2026-05-27

Astro 是一个 Web 框架。在 5.15.9 版本之前，当使用 Astro 的 Cloudflare 适配器（@astrojs/cloudflare）并设置 output 为 'server' 时，图像优化端点（/_image）中的 isRemoteAllowed() 函数存在一个关键漏洞，该函数无条件允许 data: 协议 URL。这导致通过恶意 SVG 有效载荷实现跨站脚本（XSS）攻击，从而绕过域名限制和内容安全策略（CSP）保护。此问题已在 5.15.9 版本中修复。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: GitHub M
• 预定: 2025-11-13
• 披露: 2025-11-19
• 管理: 已接受
• 条目: VDB-332975
• CPE: 准备好
• CWE: CWE-79 (已确认)
• CVSS: 6.1 (NVD)
• EPSS: 0.00250
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-65019
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-65019
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-65019/