PT-2026-76725
CVE-2026-73424
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Astro من 10.0.3 إلى 11.0.2
الوصف
يحتوي محول Astro Vercel على مشكلة «confused deputy»، حيث تسمح نقطة الدخول الخالية من الخادم (serverless) للطلبات غير المصادق عليها بتحديد المسار الذي يعرضه المصدر. عند تمكين ميزة التجديد الثابت التزايدي (ISR)، تقوم الدالة العامة
/ isr بقراءة معلمة الاستعلام x astro path وإعادة كتابة مسار الطلب إليها دون مصادقة. ونظرًا لأن Vercel يقوم بتعيين رأس x-vercel-isr على الطلبات الموجهة إلى هذه الدالة، بما في ذلك الطلبات الخارجية المباشرة، يمكن للمهاجم تجاوز ضوابط الوصول على مستوى الحافة. يؤثر هذا على التطبيقات التي تستخدم @astrojs/vercel مع isr: true والتي تحمي المسارات عبر قواعد مسار Vercel، أو قواعد الحظر في جدار الحماية، أو عمليات النشر المقسمة حيث تتم معالجة التفويض بواسطة البرمجيات الوسيطة على الحافة. يمكن للمهاجم قراءة أي مسار تم عرضه عبر طلب GET عن طريق طلب / isr?x astro path=/the/protected/path. توجد هذه المشكلة في الملف packages/integrations/vercel/src/serverless/entrypoint.ts.التوصيات
قم بتحديث Astro إلى الإصدار 11.0.3.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية
/ isr أو قم بتعطيل إعداد isr: true في محول Vercel. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾