Server-Side Request Forgery via /_image endpoint in Astro Cloudflare adapter

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid stelt een aanvaller in staat om interne resources te benaderen die normaal gesproken niet toegankelijk zijn vanaf het internet. Dit kan leiden tot data-exfiltratie, configuratie-informatie onthulling, of zelfs toegang tot interne systemen via de image optimization endpoint. De impact is verhoogd omdat de endpoint vaak openbaar toegankelijk is. Hoewel de kwetsbaarheid specifiek betrekking heeft op image optimization, kan deze worden misbruikt om andere interne services te bereiken die door de server worden blootgesteld. Het is vergelijkbaar met SSRF-kwetsbaarheden die in andere web frameworks zijn aangetroffen, waarbij de server wordt misleid om verzoeken naar interne bronnen te sturen.

Astro websites utilizing the Cloudflare adapter with output: 'server' and imageService: 'compile' are at risk. This includes developers who have integrated external image sources into their Astro projects without proper validation and those using shared hosting environments where the server configuration might be less controllable.

• nodejs / server:

  npm list @astrojs/cloudflare

• nodejs / server:

  grep -r 'imageService: \'compile\'' ./astro.config.mjs ./astro.config.ts

• generic web: Check Astro site's /_image endpoint for unauthorized domain access by attempting to load an image from an external, non-approved domain.

1. 2025-09-04Disclosure

   disclosure

1. Gereserveerd2025-08-27
2. Gepubliceerd2025-09-04
3. Gewijzigd2025-09-05
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van @astrojs/cloudflare naar versie 12.6.6 of hoger. Als een directe upgrade niet mogelijk is, kan een tijdelijke oplossing het implementeren van een Web Application Firewall (WAF) zijn om verzoeken naar de /_image endpoint te filteren en ongeautoriseerde domeinen te blokkeren. Een andere workaround is het configureren van de imageService naar een andere optie dan 'compile' die betere validatie biedt. Controleer ook de configuratie van uw Astro project om er zeker van te zijn dat er geen onnodige interne services worden blootgesteld. Na de upgrade, controleer de image optimization endpoint met een reeks URLs van verschillende domeinen om te bevestigen dat alleen geautoriseerde bronnen worden toegestaan.