CVE-2026-102983

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 5.2.0 ile 8.2.4 sürümleri arasında, @astrojs/netlify adaptörü, Netlify Image CDN uzak görüntü izin listeleri için düzenli ifadeleri URL'nin başlangıcına sabitlemeden oluşturur. Netlify bu ifadeleri RegExp.test() ile değerlendirdiği için, yalnızca kaynak URL'nin yolunda veya sorgusunda görünen izinli bir köken, URL'nin gerçek ana bilgisayarı saldırgan kontrolünde kalırken image.domains veya image.remotePatterns koşullarını sağlayabilir. Bu nedenle, genel /.netlify/images uç noktasına yapılan kimlik doğrulanmamış bir istek, Image CDN'in saldırgan tarafından seçilen URL'leri talep etmesine neden olabilir ve dahili servislerin taranmasına veya bunlara erişilmesine yol açabilir. Netlify çıkış korumaları erişilebilir hedefleri kısıtlayabilir ve görüntü dönüştürme işlemleri doğrudan yanıt sızdırılmasını sınırlar; herhangi bir gizlilik veya bütünlük etkisi kanıtlanmamıştır. Bu sorun 8.2.4 sürümünde düzeltilmiştir.