CVE-2026-41321

Name of the Vulnerable Software and Affected Versions @astrojs/cloudflare versões anteriores a 13.1.10

Description A chamada fetch() para imagens remotas em 'packages/integrations/cloudflare/src/utils/image-binding-transform.ts' utiliza o comportamento padrão redirect: 'follow'. Isso permite que o Cloudflare Worker siga redirecionamentos HTTP para URLs arbitrárias, ignorando a verificação de lista de permissões de domínio isRemoteAllowed(), que valida apenas a URL inicial. Este problema permite a ocorrência de Server-Side Request Forgery (SSRF) cego, onde um invasor pode usar um redirecionamento aberto em um domínio permitido para acessar destinos internos não autorizados, ignorando as listas de permissões image.domains e image.remotePatterns.

Recommendations Atualizar para a versão 13.1.10.