@astrojs/netlify 远程图片模式转换正则绕过漏洞 (GHSA-529g-xq4f-cw38)

@astrojs/netlify 漏洞总结 漏洞概述 漏洞名称: GHSA-529g-xq4f-cw38 漏洞描述: 将 Astro 的 转换为 Netlify 的 正则表达式时，使用了更宽松的语义。单个通配符主机名如 被转换为可选的子域名匹配，导致 匹配。单个通配符路径如 被转换时没有结束锚定，导致更深的路径匹配前缀。 严重程度: 中等 (5.3 / 10) 影响范围 受影响版本: 修复版本: 修复方案 修复版本: 升级到 或更高版本。 修复内容: 生成与 Astro 的 canonical 和 语义完全匹配的正则表达式，并锚定完整的 URL 匹配，而不是更宽松的匹配。具体来说， 应该只匹配一个子域名，而不应匹配 ； 应该只匹配一个额外的路径段，而不应匹配 。 POC 代码 ```markdown 1. Create an Astro app using astro@0.28 and @astrojs/netlify@0.7.10. 2. Configure Netlify output and a restrictive image pattern, for example remotePatterns: [{ protocol: 'http', hostname: '.localhost', pathname: '//a' }]. 3. Build the app and observe that _netlify/v1/config.json contains http://{{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?localhost:[0-9]+}}//a{[a-z0-9-]+\.\}?lo

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

@astrojs/netlify 远程图片模式转换正则绕过漏洞 (GHSA-529g-xq4f-cw38)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

@astrojs/netlify 远程图片模式转换正则绕过漏洞 (GHSA-529g-xq4f-cw38)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！