CVE-2026-25545

إصدارات Astro الأقدم من 9.5.4

يتأثر Astro، وهو إطار عمل ويب، بثغرة أمنية تتعلق بتزوير الطلبات من جانب الخادم (SSRF) في الإصدارات الأقدم من 9.5.4. وتعتبر الصفحات التي يتم عرضها من جانب الخادم والتي تعرض خطأً مع صفحة خطأ مخصصة تم عرضها مسبقًا (مثل 404.astro أو 500.astro) عرضةً لهذه الثغرة. إذا تم التلاعب برأس Host: ليشير إلى خادم المهاجم، فيمكن استرداده عند طلب مورد مثل /500.html، مما يسمح بإعادة التوجيه إلى أي عنوان URL داخلي ويُمكّن المهاجم من قراءة نص استجابة الطلب الأولي. يمكن للمهاجم الوصول إلى التطبيق دون التحقق من صحة رأس Host:، مما قد يكشف عن عنوان IP المصدر الموجود خلف بروكسي، وجعل الخادم يطلب من خادمه الخاص إعادة التوجيه إلى عناوين IP داخلية. وهذا يتيح الوصول إلى عناوين IP الخاصة ببيانات التعريف السحابية والتفاعل مع الخدمات داخل الشبكة الداخلية أو على المضيف المحلي (localhost). تتطلب هذه المشكلة الوصول المباشر إلى الخادم دون استخدام بروكسيات وسيطة.

قم بالتحديث إلى الإصدار 9.5.4 من Astro أو أحدث.