PT-2026-22062
CVE-2026-27829
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-03-09
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Astro من 9.0.0 إلى 9.5.3
الوصف
يحتوي مسار معالجة الصور في Astro على ثغرة تسمح بالالتفاف على قيود
image.domains / image.remotePatterns، مما يتيح للخادم استرداد محتوى من مضيفات بعيدة غير مصرح بها. لا يقوم الخيار inferSize، المستخدم لتحديد أبعاد الصورة عند العرض، بالتحقق من صحة النطاق عند تفعيله، مما يسمح بالحصول على صور من أي مضيف، بغض النظر عن القيود المحددة. يمكن للمهاجم الذي يتلاعب بعنوان URL الخاص بالصورة، سواء من خلال محتوى نظام إدارة المحتوى (CMS) أو البيانات المقدمة من المستخدم، أن يجعل الخادم يبحث عن محتوى من مضيفات عشوائية، مما قد يؤدي إلى تزوير الطلب من جانب الخادم (SSRF) ضد خدمات الشبكة الداخلية ونقاط نهاية البيانات الوصفية السحابية. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة للحصول على الصور بشكل صريح. تُستخدم المتغير src داخل الدالة getImage لتحديد عنوان URL للصورة.التوصيات
قم بالتحديث إلى الإصدار 9.5.4 من Astro أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾