Com `trailingSlash: 'sempre' ' configurado, o servidor estático do servidor `@ astrojs/ node` adiciona uma barra de rastreamento para solicitar caminhos e emitir um ` 301 ` redirecionamento. Os caminhos que começam com `/\` (slash- backslash) não foram reconhecidos como caminhos internos, assim o manipulador faria eco do caminho bruto de volta no cabeçalho `Location`. Como os navegadores tratam `\` como `/` segundo a especificação do URL WHATWG, o redirecionamento resultante pode ser resolvido para um hospedeiro externo. **Condições prévias:** - `trailingSlash: 'sempre' deve ser definido (não por omissão; o padrão é `'ignore'') - O caminho de solicitação não deve ter uma extensão de arquivo no seu segmento final - Um atacante deve entregar o link criado para um usuário Corregido ao tratar os caminhos prefixados com backslash como os caminhos prefixados com `//` em ` isInternalPath()`, para que eles não sejam mais reescritos com um barramento de rastreamento.
Use a configuração padrão `trailingSlash: 'ignore'', que não emite redirecionamentos de trailing-slash no gerenciador de arquivos estático. - [Especificação do URL do WHATWG: normalização do backslash](. Registro de aconselhamento: GHSA-r 557 -wffq-wvrc. Identificadores relacionados: CVE- 2026 - 59730. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 20 T 23: 22: 22.000 Z e lista a sua última modificação como 2026 - 08 - 12 T 20: 37: 34.000 Z.
Severidade: LOW. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/África do Sul:N. Software afetado e informações de versão: pacote npm @ astrojs/node — ECOSISTEM: introduzido 8.1.0, corrigido 11.0.2. Classificação e evidência: identificadores de fraqueza CWE- 601. O registro contém 6 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.