CVE-2026-73422 in Astro
Zusammenfassung
von VulDB • 12.08.2026
Astro è un framework web per siti Web basati sui contenuti. Dalla versione 2.9.0 alla 7.1.0, il generatore CSS lato server delle View Transition di Astro interpola le proprietà di animazione in un elemento style inline senza effettuare l'escaping necessario per i contesti CSS e HTML. Un valore di animazione View Transition controllato da un attaccante, ad esempio la durata (duration), può terminare l'elemento style generato ed eseguire l'iniezione di codice HTML o JavaScript arbitrario. Il codice interessato si trova in packages/astro/src/runtime/server/transition.ts; renderTransition passa sheet.toString() a markHTMLString(), mentre addAnimationProperty serializza duration tramite toTimeValue() e gestisce anche easing, direction, delay, fillMode e name. Lo sfruttamento richiede che un route on-demand o server-rendered trasmetta dati controllati dall'attaccante alla definizione di un'animazione View Transition e può eseguire JavaScript arbitrivo nell'origine dell'applicazione interessata, consentendo l'accesso a dati sensibili della pagina e ad azioni autenticate disponibili per la vittima. Questo problema è risolto nella versione 7.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.