Server-Side Request Forgery /_image एंडपॉइंट में Astro Cloudflare एडेप्टर के माध्यम से

यह SSRF भेद्यता हमलावरों को Astro.js साइट के माध्यम से आंतरिक संसाधनों तक पहुंचने या बाहरी सेवाओं के साथ इंटरैक्ट करने की अनुमति दे सकती है। हमलावर संवेदनशील डेटा उजागर कर सकते हैं, आंतरिक सेवाओं को नियंत्रित कर सकते हैं, या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकते हैं। चूंकि इमेज ऑप्टिमाइजेशन एंडपॉइंट URL को मान्य नहीं करता है, इसलिए हमलावर किसी भी URL को पास कर सकते हैं, जिससे आंतरिक सेवाओं तक अनधिकृत पहुंच हो सकती है। यह भेद्यता विशेष रूप से उन साइटों के लिए गंभीर है जो बाहरी सेवाओं पर निर्भर करती हैं या आंतरिक संसाधनों तक पहुंच की आवश्यकता होती है।

Astro websites utilizing the Cloudflare adapter with output: 'server' and imageService: 'compile' are at risk. This includes developers who have integrated external image sources into their Astro projects without proper validation and those using shared hosting environments where the server configuration might be less controllable.

• nodejs / server:

  npm list @astrojs/cloudflare

• nodejs / server:

  grep -r 'imageService: \'compile\'' ./astro.config.mjs ./astro.config.ts

• generic web: Check Astro site's /_image endpoint for unauthorized domain access by attempting to load an image from an external, non-approved domain.

1. 2025-09-04Disclosure

   disclosure

1. आरक्षित2025-08-27
2. प्रकाशित2025-09-04
3. संशोधित2025-09-05
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, तत्काल संस्करण 12.6.6 में अपडेट करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, Cloudflare फ़ायरवॉल नियमों को कॉन्फ़िगर करके इमेज ऑप्टिमाइजेशन एंडपॉइंट तक पहुंच को सीमित किया जा सकता है। केवल विश्वसनीय डोमेन से अनुरोधों की अनुमति देने के लिए WAF नियमों का उपयोग करें। इसके अतिरिक्त, इमेज ऑप्टिमाइजेशन एंडपॉइंट के लिए इनपुट सत्यापन लागू करें ताकि यह सुनिश्चित किया जा सके कि केवल अपेक्षित URL ही संसाधित किए जा रहे हैं। अपग्रेड के बाद, यह सत्यापित करें कि इमेज ऑप्टिमाइजेशन एंडपॉइंट केवल अपेक्षित डोमेन से सामग्री परोस रहा है।