CVE-2026-59728 in astro
Riassunto
di VulDB • 28/07/2026
Astro è un framework web per siti Web basati sui contenuti. Nelle versioni dalla 1.0.0 alla 4.0.18, i campi degli elementi source.title e enclosure.type nel file packages/astro-rss/src/index.ts vengono interpolati direttamente nelle stringhe di modello XML senza una corretta escape dei caratteri XML prima di essere analizzati da fast-xml-parser. Entrambi i campi sono validati esclusivamente come z.string(), senza imporre restrizioni sui caratteri speciali XML. Un attaccante che controlla questi valori può iniettare XML arbitrario nel feed RSS generato: un valore contenente " può fuoriuscire da un attributo (come avviene con enclosure.type), mentre un valore contenente </source> può chiudere prematuramente un elemento e iniettare nodi aggiuntivi (come avviene con source.title). Ciò corrompe la struttura del feed, inietta metadati falsi (ad esempio, un <link> falso che punta a un URL dannoso) e può causare una mancata analisi o la visualizzazione di contenuti controllati dall'attaccante da parte dei lettori di feed. In modalità SSR (output: 'server'), il feed avvelenato viene servito ad ogni richiesta rivolta a tutti gli abbonati. Questo problema è stato risolto nella versione 4.0.19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.