CVE-2026-54299

Nome do Software Vulnerável e Versões Afetadas Astro versões anteriores a 6.4.6

Description Aplicações Astro SSR que utilizam páginas de erro pré-renderizadas, como '/404' ou '/500' com export const prerender = true, buscam essas páginas via HTTP em tempo de execução quando ocorre um erro. A URL da busca é derivada de request.url, que obtém sua origem do cabeçalho Host recebido. Quando o cabeçalho Host não é validado contra allowedDomains, um invasor pode direcionar a busca para um host arbitrário e ler a resposta. Isso ocorre especificamente em implantações SSR que utilizam createRequestFromNodeRequest de astro/app/node com app.render() sem a sobreposição de prerenderedErrorPageFetch.

Recommendations Atualize para a versão 6.4.6 ou posterior.