CVE-2026-27829

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-27829
Astro is a web framework. In versions 9.0.0 through 9.5.3, a bug in Astro's image pipeline allows bypassing `image.domains` / `image.remotePatterns` restrictions, enabling the server to fetch content from unauthorized remote hosts. Astro provides an `inferSize` option that fetches remote images at render time to determine their dimensions. Remote image fetches are intended to be restricted to domains the site developer has manually authorized (using the `image.domains` or `image.remotePatterns` options). However, when `inferSize` is used, no domain validation is performed — the image is fetched from any host regardless of the configured restrictions. An attacker who can influence the image URL (e.g., via CMS content or user-supplied data) can cause the server to fetch from arbitrary hosts. This allows bypassing `image.domains` / `image.remotePatterns` restrictions to make server-side requests to unauthorized hosts. This includes the risk of server-side request forgery (SSRF) against internal network services and cloud metadata endpoints. Version 9.5.4 fixes the issue.

6.5 /10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 2.5

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact NONE

Integrity Impact LOW

Availability Impact LOW

Scope UNCHANGED

References
Link Resource
https://github.com/withastro/astro/commit/e01e98b063e90d274c42130ec2a60cc0966622c9 Patch
https://github.com/withastro/astro/security/advisories/GHSA-cj9f-h6r6-4cx2 Exploit Vendor Advisory
Configurations

Configuration 1 (hide)

cpe:2.3:a:astro:\@astrojs\/node:*:*:*:*:*:node.js:*:*
History

09 Mar 2026, 20:47

Type Values Removed Values Added
References () https://github.com/withastro/astro/commit/e01e98b063e90d274c42130ec2a60cc0966622c9 - () https://github.com/withastro/astro/commit/e01e98b063e90d274c42130ec2a60cc0966622c9 - Patch
References () https://github.com/withastro/astro/security/advisories/GHSA-cj9f-h6r6-4cx2 - () https://github.com/withastro/astro/security/advisories/GHSA-cj9f-h6r6-4cx2 - Exploit, Vendor Advisory
Summary
  • (es) Astro es un framework web. En las versiones 9.0.0 a 9.5.3, un error en la pipeline de imágenes de Astro permite eludir las restricciones de `image.domains` / `image.remotePatterns`, lo que permite al servidor obtener contenido de hosts remotos no autorizados. Astro proporciona una opción `inferSize` que obtiene imágenes remotas en el momento de la renderización para determinar sus dimensiones. La obtención de imágenes remotas está destinada a restringirse a dominios que el desarrollador del sitio ha autorizado manualmente (utilizando las opciones `image.domains` o `image.remotePatterns`). Sin embargo, cuando se utiliza `inferSize`, no se realiza ninguna validación de dominio — la imagen se obtiene de cualquier host independientemente de las restricciones configuradas. Un atacante que puede influir en la URL de la imagen (por ejemplo, a través de contenido de CMS o datos proporcionados por el usuario) puede hacer que el servidor obtenga contenido de hosts arbitrarios. Esto permite eludir las restricciones de `image.domains` / `image.remotePatterns` para realizar peticiones del lado del servidor a hosts no autorizados. Esto incluye el riesgo de falsificación de petición del lado del servidor (SSRF) contra servicios de red internos y puntos finales de metadatos en la nube. La versión 9.5.4 corrige el problema.
CPE cpe:2.3:a:astro:\@astrojs\/node:*:*:*:*:*:node.js:*:*
First Time Astro \@astrojs\/node
Astro

26 Feb 2026, 01:16

Type Values Removed Values Added
New CVE
Information

Published : 2026-02-26 01:16

Updated : 2026-03-09 20:47

NVD link : CVE-2026-27829

Mitre link : CVE-2026-27829

CVE.ORG link : CVE-2026-27829

JSON object : View

Products Affected

astro

  • \@astrojs\/node
CWE
CWE-918

Server-Side Request Forgery (SSRF)