CVE-2026-27829

Astro veb freymvorkdur. 9.0.0 və 9.5.3 versiyaları arasında Astro-nun şəkil boru kəmərindəki (image pipeline) bir xəta `image.domains` / `image.remotePatterns` məhdudiyyətlərinin yan keçilməsinə şərait yaradır və serverin icazə verilməmiş uzaq hostlardan məzmun əldə etməsinə imkan verir. Astro, təsvirlərin ölçülərini müəyyən etmək üçün render zamanı uzaq şəkilləri yükləyən `inferSize` seçimini təmin edir. Uzaq şəkillərin yüklənməsinin yalnız sayt tərtibatçısı tərəfindən əllə təsdiqlənmiş domenlərlə (`image.domains` və ya `image.remotePatterns` seçimləri vasitəsilə) məhdudlaşdırılması nəzərdə tutulub. Lakin `inferSize` istifadə edildikdə heç bir domen yoxlaması aparılmır — konfiqurasiya edilmiş məhdudiyyətlərdən asılı olmayaraq şəkil hər hansı hostdan yüklənir. Şəkil URL-nə təsir edə bilən hücumçu (məsələn, CMS məzmunu və ya istifadəçi tərəfindən təqdim edilən məlumatlar vasitəsilə) serverin ixtiyari hostlardan məlumat çəkməsinə səbəb ola bilər. Bu, icazə verilməmiş hostlara server tərəfli sorğular göndərmək üçün `image.domains` / `image.remotePatterns` məhdudiyyətlərinin yan keçilməsinə imkan verir. Bura daxili şəbəkə xidmətlərinə və bulud metadata son nöqtələrinə qarşı server tərəfli sorğu saxtakarlığı (SSRF) riski də daxildir. Versiya 9.5.4 bu problemi aradan qaldırır.