CVE-2025-55303
Təsvir
Astro məzmun yönümlü veb saytlar üçün veb freymvorkdur. astro-nun 5.13.2 və 4.16.18 versiyalarından əvvəlki versiyalarda, tələbat üzrə renderləmə (on-demand rendering) ilə yerləşdirilmiş layihələrdə şəkillərin optimallaşdırılması son nöqtəsi (endpoint), icazəsiz üçüncü tərəf domenlərindən olan şəkillərin təqdim edilməsinə imkan verir. Astro ilə qurulmuş tələbat üzrə renderlənmiş saytlar, şəkillərin optimallaşdırılmış versiyalarını qaytaran /_image son nöqtəsini daxil edir. astro-nun təsirlənmiş versiyalarındakı bir xəta, hücumçunun şəklin mənbəyi kimi protokoldan asılı olmayan URL istifadə etməklə (məsələn, /_image?href=//example.com/image.png) üçüncü tərəf domen məhdudiyyətlərindən yan keçməsinə imkan verir. Bu zəiflik 5.13.2 və 4.16.18 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- astro astro4.16.18, 5.13.2 və ya daha yeni versiya
- astro5.13.2, 4.16.19 və ya daha yeni versiya
- @astrojs/node9.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| astro astro | v < 4.16.18, 5.0.0 ≤ v < 5.13.2 | 4.16.18, 5.13.2 |
| astronpm | 5.0.0-alpha.0 ≤ v < 5.13.2, v < 4.16.19 | 5.13.2, 4.16.19 |
| @astrojs/nodenpm | v < 9.1.1 | 9.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.