CVE-2026-59730

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 8.1.0 ile 11.0.1 arasındaki sürümlerde, trailingSlash: 'always' yapılandırıldığında, @astrojs/node bağımsız sunucusunun statik dosya işleyicisi istek yollarına bir sondaki eğik çizgi ekler ve 301 yönlendirmesi gerçekleştirir. /\ (eğik çizgi-ters eğik çizgi) ile başlayan yollar dahili yollar olarak tanınmadığından, işleyici ham yolu Location başlığında geri döndürürdü. Tarayıcılar, WHATWG URL spesifikasyonu uyarınca \ karakterini / olarak değerlendirdiğinden, ortaya çıkan yönlendirme harici bir ana bilgisayara çözümlenebilir. İstismar için ön koşullar şunlardır: trailingSlash: 'always' ayarlanmış olmalıdır (varsayılan değildir; varsayılan değer 'ignore'dur), istek yolunun son segmentinde bir dosya uzantısı bulunmamalıdır ve saldırgan hazırlanan bağlantıyı bir kullanıcıya iletmelidir. Bu sorun 11.0.2 sürümünde düzeltilmiştir.