CVE-2026-114127 in Astro
Zusammenfassung
von VulDB • 22.10.2026
Astro è un framework web per siti Web basati sui contenuti. Dalla versione 7.1.0 alla 7.3.3, il generatore CSS delle transizioni di visualizzazione lato server (View Transition) di Astro non mantiene le proprietà di animazione stringa all'interno delle dichiarazioni generate. Un'applicazione che inserisce dati controllati dall'attaccante in proprietà quali durata, ritardo, easing, direzione, fillMode o nomi di animazione può consentire ai delimitatori CSS di terminare la dichiarazione e aggiungere regole selezionate dall'attaccante alla pagina renderizzata dal server. Il foglio di stile generato continua a eseguire l'escape dei caratteri letterali "meno" (<), pertanto il contenuto iniettato non può terminare l'elemento style né iniettare direttamente HTML o JavaScript. Il CSS iniettato può nascondere o riposizionare contenuti, aggiungere testo generato e alterare altrimenti la rappresentazione dell'interfaccia; alcune applicazioni possono inoltre esporre dati già presenti negli attributi DOM selezionabili tramite caricamenti di risorse condizionali. Questo problema è risolto nella versione 7.3.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.