Twee kwetsbaarheden in Astro-adapters: DoS in Node door misvormde Host-header en SSRF-risico via Netlify Image CDN

Wat is er gebeurd

Er zijn twee adviezen gepubliceerd voor Astro-adapters. Bij @astrojs/node bouwt de adapter een request-URL op basis van de binnenkomende Host-header; bevat deze header een misvormde poort, dan kan dit een ongeldige URL opleveren. Het herstelpad van de adapter hergebruikt dezelfde misvormde host en gooit een onafgevangen TypeError voordat routering plaatsvindt. In de standaard standalone-configuratie resulteert dit in een HTTP 500-reactie waarbij de server blijft draaien, maar wanneer de optie staticHeaders is ingeschakeld, wordt de fout niet afgevangen door de synchrone handler en stopt het Node-proces. Daarnaast genereert de @astrojs/netlify-adapter reguliere expressies om de allowlist voor remote-images (image.domains / image.remotePatterns) van de Netlify Image CDN te valideren, maar deze expressies zijn niet verankerd aan het begin van de URL. Omdat Netlify deze evalueert met RegExp.test(), kan een toegestaan domein dat ergens in het pad of de queryparameters van een URL voorkomt, aan de controle voldoen, terwijl de werkelijke host anders is en door een aanvaller wordt bepaald. Hierdoor kan een niet-geauthenticeerd verzoek naar het publieke /.netlify/images-eindpunt ervoor zorgen dat de Image CDN URL's ophaalt die door een aanvaller zijn gekozen.

Technische oorzaak

CVE-2026-102984 (CWE-248, onafgevangen uitzondering) komt voort uit onvoldoende validatie van de Host-header voordat een URL-object wordt aangemaakt; een misvormde poortwaarde veroorzaakt een ongeldige-URL-fout die in het codepad met staticHeaders niet netjes wordt afgehandeld. CVE-2026-102983 (CWE-625, te permissieve reguliere expressie) komt voort uit allowlist-expressies die niet verankerd zijn aan het begin van de invoerstring, waardoor een tekstuele match op een toegestaan domein kan slagen, ook wanneer dit niet overeenkomt met de werkelijke host van de doel-URL.

Waarom dit relevant is

Het probleem in de Node-adapter raakt alleen de beschikbaarheid: er wordt geen data blootgesteld en geen code-executie mogelijk gemaakt, maar in de staticHeaders-configuratie kan één misvormd verzoek het serverproces laten crashen, waarna een herstart nodig is. Het advies merkt op dat proxies en CDN's die misvormde Host-headers al weigeren voordat ze de origin bereiken, dit pad kunnen blokkeren. Het probleem in de Netlify-adapter maakt Server-Side Request Forgery (SSRF) mogelijk: het kan een niet-geauthenticeerde aanvrager in staat stellen de Image CDN verzoeken te laten doen naar interne of andere onbedoelde doelen. Het advies stelt dat Netlify's eigen egress-bescherming kan beperken welke doelen bereikbaar zijn, en dat beperkingen in beeldtransformatie directe exfiltratie van responsdata bemoeilijken; tot op heden is geen impact op vertrouwelijkheid of integriteit aangetoond.

Wie wordt getroffen

Sites die de @astrojs/node-adapter gebruiken met de optie staticHeaders ingeschakeld, worden getroffen door CVE-2026-102984; sites in de standaard standalone-configuratie ondervinden een minder ernstige HTTP 500-reactie in plaats van een crash. Sites die de @astrojs/netlify-adapter gebruiken met image.domains of image.remotePatterns geconfigureerd voor de Netlify Image CDN, worden getroffen door CVE-2026-102983. Beide kwetsbaarheden kunnen worden getriggerd door niet-geauthenticeerde verzoeken en vereisen geen gebruikersinteractie.

Getroffen versies

@astrojs/node: versies vanaf 0 tot en met 11.1.2 zijn getroffen (CVE-2026-102984). @astrojs/netlify: versies vanaf 5.2.0 tot en met 8.2.3 zijn getroffen (CVE-2026-102983).

Oplossingen en mitigatie

@astrojs/node versie 11.1.3 verhelpt CVE-2026-102984. @astrojs/netlify versie 8.2.4 verhelpt CVE-2026-102983. Als gedeeltelijke mitigatie voor het probleem in de Node-adapter kan het plaatsen van een proxy of CDN vóór de origin die misvormde Host-headers weigert, voorkomen dat het kwetsbare pad wordt bereikt, al is dit geen vervanging voor het updaten.

Aanbevolen actie

Werk @astrojs/node bij naar versie 11.1.3 of hoger, vooral als staticHeaders is ingeschakeld. Werk @astrojs/netlify bij naar versie 8.2.4 of hoger als remote-image allowlisting is geconfigureerd voor de Netlify Image CDN. Controleer de implementatieconfiguratie om vast te stellen welke adapters en opties worden gebruikt voordat prioriteiten voor herstel worden bepaald.