CSRF dans astro (CVE-2026-73423)
Résumé
Vulnérabilité dans astro (CVE-2026-73423). Risque d'opérations non autorisées ou de divulgation. Exploitable via security.checkOrigin. Atténuation : mise à jour vers 7.0.6 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
In the composable astro/hono pipeline, the security.checkOrigin protection is only installed by the middleware() primitive. The actions() and pages() primitives each dispatch to user code independently, so a pipeline that mounts either primitive before (or without) middleware() will bypass the origin check for those requests.
Details
security.checkOrigin (default: true) is intended to reject cross-site POST/PUT/PATCH/DELETE form submissions. In the classic pipeline (astro() all-in-one), the check always runs because Astro injects a virtual middleware module even when the user has no src/middleware.ts. In the composable astro/hono pipeline, the user assembles primitives manually. The check is only installed inside middleware() — so:
- Mounting
actions()beforemiddleware()allows cross-origin form-encoded action requests to execute before the gate runs. Theexamples/advanced-routingexample and the Cloudflarehonodocs shipped this order. - Omitting
middleware()entirely (reasonable for apps with no custom middleware) silently dropscheckOriginprotection for all on-demand endpoints and pages dispatched throughpages().
The attack is a blind write-only CSRF: the attacker can trigger a state-mutating action or endpoint handler using the victim's cookies, but cannot read the cross-origin response body.
Affected versions
Astro >= 7.0.0 when using the composable astro/hono pipeline with either:
actions()…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-73423 a été découverte dans astro.
Des attaquants peuvent cibler un point d'entrée spécifique comme security.checkOrigin à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour astro vers 7.0.6 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « astro CVE-2026-73423 » sur le site de l'éditeur.
CVE-2026-73423 (astro) — CWE-352
Surface d'attaque : security.checkOrigin / true / POST / PUT
Correctif : 7.0.6 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une CSRF (CWE-352) affecte astro. Les attaquants atteignent le code vulnérable via security.checkOrigin.
Consultez l'avis de l'éditeur pour les versions affectées de astro. Surface d'attaque : security.checkOrigin / true / POST / PUT.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 7.0.6.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'astro' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
astroを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade astro to 7.0.6ステージング環境で 7.0.6 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com