Contournement de la liste d’autorisation du Netlify Image CDN dans Astro

Veille sécuritéFrontend

P4Moyenne

Une validation insuffisamment ancrée des URL autorisées pour le Netlify Image CDN peut permettre de contourner la liste image.domains ou image.remotePatterns et de provoquer des requêtes vers des URL choisies par l’attaquant. La version corrigée est @astrojs/netlify 8.2.4 ; l’avis indique aussi comme mesures provisoires de désactiver le CDN d’images ou de retirer les entrées distantes autorisées.

IdentifiantCVE-2026-102983

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif@astrojs/netlify 8.2.4

Source : GHSA-4233-jc72-56c5 — Astro: Netlify Image CDN allowlist bypass enables SSRF

Analyse technique

Les expressions régulières générées pour la liste d’autorisation ne sont pas ancrées au début de l’URL ; une correspondance dans le chemin ou la chaîne de requête peut donc satisfaire le test alors que l’hôte réel est différent.

Impact, versions et correctif

Événement datéL’avis indique une publication le 2026-09-30T23:40:12Z, soit le 2026-10-01T01:40:12+02:00, dans la période demandée.

ImpactUn attaquant non authentifié peut amener le CDN d’images à effectuer des requêtes vers des URL choisies, avec un risque de sondage ou d’accès à des services internes selon les protections réseau de Netlify. L’avis précise que la transformation d’image limite l’exfiltration directe et qu’aucun impact sur la confidentialité ou l’intégrité n’a été démontré.

Versions affectées@astrojs/netlify >= 5.2.0, <= 8.2.3

Version corrigée@astrojs/netlify 8.2.4

ContournementAvant la mise à niveau, désactiver le Netlify Image CDN avec imageCDN: false ou retirer les entrées de liste d’autorisation des images distantes.

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,54% · percentile 43,3%

Publication2026-09-30T23:40:12Z

Mise à jour2026-09-30T23:40:13Z

Détection / vérification

Vérifier si le déploiement utilise @astrojs/netlify entre les versions 5.2.0 et 8.2.3 et si le Netlify Image CDN est activé avec une liste d’autorisation d’images distantes.

Action recommandée

Mettre à niveau @astrojs/netlify vers la version 8.2.4 ou ultérieure.

Sources

GHSA-4233-jc72-56c5 — Astro: Netlify Image CDN allowlist bypass enables SSRF

Priorisation DFS : P4 · 1 source(s).