CVE-2026-73423

Nome do Software Vulnerável e Versões Afetadas Astro versões 7.0.0 a 7.0.5

Description O pipeline composable astro/hono instala o security.checkOrigin exclusivamente através da primitiva middleware(), enquanto actions() e pages() podem ser despachados para o código do usuário de forma independente. Se actions() forem montados antes do middleware(), requisições de ação form-encoded de origens cruzadas podem ser executadas antes da verificação de origem. Além disso, o uso de pages() sem middleware() remove a verificação para endpoints e páginas sob demanda. Isso permite a falsificação de requisição entre sites (CSRF) do tipo blind write-only—um tipo de ataque onde um comando não autorizado é transmitido por um usuário em quem a aplicação web confia—utilizando os cookies da vítima contra ActionHandler.handle e PagesHandler.handleWithErrorFallback quando o manifest.checkOrigin está habilitado. Um invasor pode disparar uma ação de mutação de estado ou um manipulador de endpoint, mas não consegue ler a resposta de origem cruzada.

Recommendations Atualizar para a versão 7.0.6.