CVE-2026-33768
Təsvir
Astro veb freymvorkdur. Versiya 10.0.2-dək olan versiyalarda @astrojs/vercel serverless giriş nöqtəsi daxili sorğu yolunu yenidən yazmaq üçün heç bir autentifikasiya olmadan x-astro-path başlığını və x_astro_path sorğu parametrini oxuyur. Edge Middleware olmayan tətbiqlərdə bu, hər hansı şəxsə Vercel-in platforma səviyyəli yol məhdudiyyətlərindən tamamilə yan keçməyə imkan verir. Bu əvəzləmə orijinal HTTP metodunu və gövdəsini saxlayır, buna görə də bu yalnız GET ilə məhdudlaşmır. POST, PUT, DELETE sorğularının hamısı yenidən yazılmış yola yönəlir. /admin/* yolunu bloklayan Firewall qaydası, sorğu POST /api/health?x_astro_path=/admin/delete-user kimi gəldikdə heç bir təsir göstərmir. Bu problem 10.0.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- @astrojs/vercel10.0.2 və ya daha yeni versiya
- astro \@astrojs\/vercel10.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @astrojs/vercelnpm | v < 10.0.2 | 10.0.2 |
| astro \@astrojs\/vercel | v < 10.0.2 | 10.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.