Astro 7.2.8 corrige une faille critique liée aux images AVIF

L’équipe Astro a publié le 27 août 2026 un avis de sécurité classé critique. La vulnérabilité, notée 9,8 sur 10, affecte toutes les versions d’Astro antérieures à la 7.2.8. Elle peut permettre l’exécution de code à distance lorsqu’un projet optimise une image AVIF spécialement conçue.

Le problème ne se trouve pas directement dans le code d’Astro. Il vient de libheif, une bibliothèque utilisée par Sharp, le service d’images activé par défaut par le framework. Un fichier AVIF spécialement conçu peut provoquer un dépassement de mémoire contrôlé par l’attaquant pendant son redimensionnement. Le bulletin technique de libheif indique que les chercheurs ont obtenu une exécution de code sur plusieurs applications.

Le scénario concerne les projets dans lesquels un attaquant peut amener Astro à optimiser une image AVIF non fiable, par exemple au moyen d’une source de contenu externe ou d’un système d’envoi de fichiers. Un site qui ne traite que des images locales contrôlées n’est pas exposé de la même manière, mais la mise à jour reste recommandée.

Le journal des changements d’Astro 7.2.8 relève la version minimale de Sharp à la 0.35.4. Cette version utilise sharp-libvips 1.3.3, qui embarque la version corrigée de libheif.

Astro recommande son outil de mise à niveau, qui actualise également les intégrations officielles :

npx @astrojs/upgrade

Si la mise à jour ne peut pas être appliquée immédiatement, il faut empêcher Astro d’optimiser des images AVIF provenant de sources non fiables.

Au 31 août 2026, aucun identifiant CVE n’est encore attribué à cette vulnérabilité. La publication de libheif 1.23.2 précise que les numéros CVE seront ajoutés ultérieurement.

Retrouvez l’article consacré à Astro 7, ses nouveautés, ses performances et sa migration qui présente le reste des changements introduits par cette version majeure.