CVE-2025-58179
Açıklama
Astro, içerik odaklı web siteleri için bir web çerçevesidir. 11.0.3 ile 12.6.5 arasındaki sürümler, Astro'nun Cloudflare adaptörü kullanıldığında SSRF'ye karşı savunmasızdır. Varsayılan imageService: 'compile' kullanılırken output: 'server' şeklinde yapılandırıldığında, oluşturulan görüntü optimizasyon uç noktası aldığı URL'leri kontrol etmez ve yetkisiz üçüncü taraf alan adlarından gelen içeriğin sunulmasına izin verir. Cloudflare altyapısına dağıtım için kullanılan @astrojs/cloudflare adaptörünün etkilenen sürümlerindeki bir hata, saldırganın üçüncü taraf alan adı kısıtlamalarını atlatmasına ve savunmasız kök dizinden herhangi bir içeriği sunmasına olanak tanır. Bu sorun 12.6.6 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- @astrojs/cloudflare12.6.6 ya da sonraki bir sürüm
- astro \@astrojs\/cloudflare12.6.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @astrojs/cloudflarenpm | 11.0.3 ≤ v < 12.6.6 | 12.6.6 |
| astro \@astrojs\/cloudflare | 11.0.3 ≤ v < 12.6.6 | 12.6.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.