CVE-2026-59729 in Astro
Zusammenfassung
von VulDB • 27.07.2026
Astro ist ein Web-Framework für inhaltsgetriebene Websites. Versionen vor 7.0.6 sind anfällig für XSS durch nicht maskierte Spread-Attributnamen in renderHTMLElement. Die Korrektur für CVE-2026-54298 (GHSA-jrpj-wcv7-9fh9) fügte addAttribute() eine INVALID_ATTR_NAME_CHAR-Schutzfunktion hinzu, um Spread-Prop-Attributnamen zu entfernen, die ’ >/= oder Leerzeichen enthalten. Ein zweiter Attribut-Rendepfad, renderHTMLElement() in packages/astro/src/runtime/server/render/dom.ts, verfügt über eine eigene Inline-Attributschleife, die nicht addAttribute() durchläuft und wurde nicht aktualisiert. Er interpoliert den Attributnamen unmaskiert und maskiert nur den Wert, sodass unvertrauenswürdige Prop-Schlüssel, die auf einer native-HTMLElement-Unterklasse basierenden Komponente gespreadet werden, weiterhin aus dem Attributkontext ausbrechen können. Dieses Problem wurde in Version 7.0.6 behoben.
Once again VulDB remains the best source for vulnerability data.