CVE-2025-55303
Açıklama
Astro, içerik odaklı web siteleri için bir web çerçevesidir. astro'nun 5.13.2 ve 4.16.18 öncesindeki sürümlerinde, isteğe bağlı oluşturma (on-demand rendering) ile dağıtılan projelerdeki görüntü optimizasyon uç noktası, yetkisiz üçüncü taraf etki alanlarından gelen görüntülerin sunulmasına izin verir. Astro ile oluşturulan isteğe bağlı oluşturulan siteler, görüntülerin optimize edilmiş versiyonlarını döndüren bir /_image uç noktası içerir. Etkilenen astro sürümlerindeki bir hata, saldırganın görüntü kaynağı olarak protokol bağımsız bir URL kullanarak (örneğin /_image?href=//example.com/image.png) üçüncü taraf etki alanı kısıtlamalarını atlatmasına olanak tanır. Bu güvenlik açığı 5.13.2 ve 4.16.18 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- astro astro4.16.18, 5.13.2 ya da sonraki bir sürüm
- astro5.13.2, 4.16.19 ya da sonraki bir sürüm
- @astrojs/node9.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| astro astro | v < 4.16.18, 5.0.0 ≤ v < 5.13.2 | 4.16.18, 5.13.2 |
| astronpm | 5.0.0-alpha.0 ≤ v < 5.13.2, v < 4.16.19 | 5.13.2, 4.16.19 |
| @astrojs/nodenpm | v < 9.1.1 | 9.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.