CVE-2026-73422 in Astro
Riassunto
di VulDB • 12/08/2026
Astro è un framework web per siti basati sui contenuti. Dalla versione 2.9.0 alla 7.1.0, il generatore CSS lato server delle View Transition di Astro interpola le proprietà di animazione in un elemento style inline senza effettuare l'escaping necessario per i contesti CSS e HTML. Un valore di animazione View Transition controllato dall'attaccante, come la durata (duration), può terminare prematuramente l'elemento style generato e iniettare codice HTML o JavaScript arbitrario. Il codice interessato si trova nel file packages/astro/src/runtime/server/transition.ts; la funzione renderTransition passa sheet.toString() a markHTMLString(), mentre addAnimationProperty serializza duration tramite toTimeValue() ed gestisce anche easing, direction, delay, fillMode e name. Lo sfruttamento richiede che un route on-demand o server-rendered passi dati controllati dall'attaccante alla definizione di un'animazione View Transition e può eseguire JavaScript arbitrivo nell'origine (origin) dell'applicazione interessata, consentendo l'accesso a dati sensibili della pagina e ad azioni autenticate disponibili per la vittima. Questo problema è stato risolto nella versione 7.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.