Server-Side Request Forgery via /_image endpoint no Astro Cloudflare adapter

Um atacante pode explorar essa vulnerabilidade enviando requisições maliciosas para o endpoint de otimização de imagens (/_image) do Astro, especificando URLs de domínios externos não autorizados. O servidor, ao tentar otimizar essas imagens, pode revelar informações sensíveis sobre a infraestrutura interna ou até mesmo permitir o acesso a outros serviços internos que não deveriam ser acessíveis externamente. O impacto potencial inclui a exposição de dados confidenciais, a execução de código arbitrário em sistemas internos e a comprometimento da integridade da aplicação. Essa vulnerabilidade se assemelha a outros ataques SSRF, onde a falta de validação de URLs permite o acesso a recursos não intencionais.

Astro websites utilizing the Cloudflare adapter with output: 'server' and imageService: 'compile' are at risk. This includes developers who have integrated external image sources into their Astro projects without proper validation and those using shared hosting environments where the server configuration might be less controllable.

• nodejs / server:

  npm list @astrojs/cloudflare

• nodejs / server:

  grep -r 'imageService: \'compile\'' ./astro.config.mjs ./astro.config.ts

• generic web: Check Astro site's /_image endpoint for unauthorized domain access by attempting to load an image from an external, non-approved domain.

1. 2025-09-04Disclosure

   disclosure

1. Reservado2025-08-27
2. Publicada2025-09-04
3. Modificada2025-09-05
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o @astrojs/cloudflare para a versão 12.6.6 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere as seguintes medidas de mitigação: configure um firewall de aplicação web (WAF) para bloquear requisições para o endpoint /image que contenham URLs de domínios não autorizados; implemente regras de proxy para restringir o acesso do servidor a domínios externos; revise a configuração do Astro para garantir que apenas domínios confiáveis sejam permitidos para otimização de imagens. Após a atualização, confirme a correção verificando se o endpoint /image agora valida corretamente as URLs de entrada.