JVNDB-2026-004998

Astroの@astrojs/nodeにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

AstroはWebフレームワークです。バージョン9.0.0から9.5.3において、Astroのサーバーアクションにはデフォルトのリクエストボディサイズ制限がなく、これによりメモリ不足によるサービス拒否（DoS）が発生する可能性があります。1回の大きなPOSTリクエストを有効なアクションエンドポイントに送信すると、メモリ制約のある環境でサーバープロセスがクラッシュすることがあります。Astroで構築されたオンデマンドレンダリングサイトはサーバーアクションを定義でき、これらは自動的に受信リクエストのボディ（JSONまたはFormData）を解析します。ボディはサイズ制限なくメモリ全体にバッファリングされるため、1件の大容量リクエストでプロセスのヒープを使い果たしてサーバーがクラッシュします。AstroのNodeアダプター(`mode: 'standalone'`)はボディサイズ保護なしでHTTPサーバーを作成します。コンテナ環境では、クラッシュしたプロセスが自動的に再起動され、繰り返されるリクエストによりクラッシュと再起動のループが持続します。アクション名は任意の公開ページのHTMLフォーム属性から発見可能であるため認証は不要です。この脆弱性により、サーバーアクションを使用したSSRスタンドアロン環境に対して認証なしのサービス拒否攻撃が可能です。1回の大容量リクエストでサーバープロセスがクラッシュし、繰り返しのリクエストがコンテナ環境において持続的なクラッシュ再起動ループを引き起こします。バージョン9.5.4で修正されました。

Astro

• @astrojs/node 9.0.0 以上 9.5.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Memory exhaustion DoS due to missing request body size limit in Server Actions  Advisory  withastro/astro  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-27729

1. National Vulnerability Database (NVD) : CVE-2026-27729
2. 関連文書 : Limit action request body size by matthewp  Pull Request #15564  withastro/astro  GitHub
3. 関連文書 : Release @astrojs/node@9.5.4  withastro/astro  GitHub
4. 関連文書 : Limit action request body size (#15564)  withastro/astro@522f880  GitHub

• [2026年02月27日]
    掲載