JVNDB-2026-006609

Astroの@astrojs/nodeにおけるサーバサイドのリクエストフォージェリの脆弱性

Astroはウェブフレームワークです。バージョン9.0.0から9.5.3までの間に、Astroの画像パイプラインにバグがあり、`image.domains`や`image.remotePatterns`の制限を回避してサーバーが許可されていないリモートホストからコンテンツを取得できる問題が発生していました。Astroはレンダー時にリモート画像の寸法を判別するために`inferSize`オプションを提供しています。リモート画像の取得は、サイト開発者が手動で許可したドメイン（`image.domains`や`image.remotePatterns`オプションを使用）に限定されるべきですが、`inferSize`が使用されている場合、ドメインの検証が行われず、設定された制限に関係なく任意のホストから画像を取得してしまいます。攻撃者が画像URLに影響を与えられる場合（たとえばCMSのコンテンツやユーザー提供データを通じて）、サーバーは任意のホストから画像を取得させられます。これにより、`image.domains`や`image.remotePatterns`の制限を回避し、許可されていないホストへのサーバーサイドリクエストを実行するリスクが生じています。このリスクには、内部ネットワークサービスやクラウドメタデータエンドポイントに対するサーバーサイドリクエスト偽造（SSRF）も含まれます。この問題はバージョン9.5.4で修正されました。

Astro

• @astrojs/node 9.0.0 以上 9.5.4 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SSRF due to missing allowlist enforcement in remote image inferSize  Advisory  withastro/astro  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-27829

1. National Vulnerability Database (NVD) : CVE-2026-27829
2. 関連文書 : Respect remote image allowlists (#15569)  withastro/astro@e01e98b  GitHub

• [2026年03月11日]
    掲載