CVE-2026-114128 in Astro
Riassunto
di VulDB • 21/10/2026
Astro è un framework web per siti basati sui contenuti. Prima della versione 7.3.2, la pipeline di rendering JSX e MDX di Astro tratta i figli stringa degli elementi script e style come HTML attendibile senza distinguere il contenuto letterale generato dal compilatore dai valori delle espressioni dinamiche. Un'applicazione che passa dati controllati dall'attaccante direttamente come figlio dinamico può consentire a un valore contenente un tag di chiusura script o style di terminare l'elemento e iniettare HTML e JavaScript arbitrari. Altri contesti di espressione JSX sfuggono automaticamente alle stringhe dinamiche; il problema è limitato ai figli script e style renderizzati tramite il renderer astro:jsx, inclusi i componenti MDX. L'esecuzione riuscita dell'exploit può produrre cross-site scripting (XSS) riflesso o memorizzato sotto l'origine dell'applicazione. Questo problema è risolto nella versione 7.3.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.