CVE-2026-54299
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Astro to framework webowy, który przed wersją 6.4.6 miał problem z aplikacjami SSR, które korzystały z prerenderowanych stron błędów. W przypadku wystąpienia błędu, strony te były pobierane przez HTTP, co umożliwiało atakującemu skierowanie żądania do dowolnego hosta.
Ocena ryzyka
Brak walidacji nagłówka Host pozwala atakującemu na odczyt odpowiedzi z dowolnego hosta, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację do wersji 6.4.6 lub nowszej, aby usunąć tę podatność oraz wdrożenie walidacji nagłówka Host w aplikacjach.
Inne podatności w Astro framework
Zobacz wszystkie- CVE-2026-54298Średnie
W wersjach przed 6.4.6 frameworka Astro, funkcja spreadAttributes w pipeline'ie renderowania po stronie serwera nie zabezpieczała kluczy obiektów przed wstrzyknięciem, co umożliwiało atakującym dodawanie dowolnych atrybutów HTML, w tym handlerów zdarzeń.
- CVE-2026-50146Wysokie
Astro to framework webowy, który przed wersją 6.3.3 miał lukę, w której komponenty używające dyrektywy client:* wstawiały zawartość slotu do atrybutu data-astro-template bez odpowiedniego zabezpieczenia, co umożliwiało atakującemu wstrzyknięcie dowolnego HTML i prowadziło do odzwierciedlonego XSS podczas SSR.
Oryginalny opis (angielski, źródło NVD)
Astro is a web framework. Prior to 6.4.6, Astro SSR apps with prerendered error pages (/404 or /500 using export const prerender = true) fetch those pages over HTTP at runtime when an error occurs. The URL for this fetch is derived from request.url, which in turn gets its origin from the incoming Host header. When the Host header is not validated against allowedDomains, an attacker can point the fetch at an arbitrary host and read the response. This vulnerability is fixed in 6.4.6.