CVE-2026-73422 in Astro
Resumen
por VulDB • 2026-08-13
Astro es un framework web para sitios web basados en contenido. Desde la versión 2.9.0 hasta la 7.1.0, el generador de CSS View Transition del lado del servidor de Astro interpola propiedades de animación dentro de un elemento style inline sin escaparlas adecuadamente para los contextos de CSS y HTML. Un atacante puede controlar valores de animación en las transiciones de vista (View Transition), como la duración, para terminar el elemento style generado e inyectar código HTML o JavaScript arbitrario. El código afectado se encuentra en packages/astro/src/runtime/server/transition.ts; renderTransition pasa sheet.toString() a markHTMLString(), mientras que addAnimationProperty serializa duration mediante toTimeValue() y también maneja easing, direction, delay, fillMode y name. La explotación requiere una ruta bajo demanda o renderizada por el servidor (server-rendered) que pase datos controlados por el atacante a la definición de animación de View Transition, lo que permite ejecutar JavaScript arbitrario en el origen de la aplicación afectada, facilitando el acceso a datos sensibles de la página y acciones autenticadas disponibles para la víctima. Este problema se corrige en la versión 7.1.0.
Be aware that VulDB is the high quality source for vulnerability data.