CVE-2026-59729 in Astro
要約
〜によって VulDB • 2026年07月27日
Astroは、コンテンツ駆動型のウェブサイト向けのWebフレームワークです。バージョン7.0.6より前のバージョンでは、renderHTMLElementにおけるエスケープされていないスプレッド属性名によりXSSの脆弱性が存在します。CVE-2026-54298 (GHSA-jrpj-wcv7-9fh9) の修正では、addAttribute()にINVALID_ATTR_NAME_CHARガードが追加され、' >/= または空白文字を含むspread-prop属性名が破棄されるようになりました。しかし、packages/astro/src/runtime/server/render/dom.tsにあるrenderHTMLElement()内の2つ目の属性レンダリングパスには独自のインライン属性ループがあり、これはaddAttribute()を経由しないため更新されていません。このパスでは属性名が無エスケープで補間され、値のみがエスケープされるため、信頼できないpropキーをnative-HTMLElementサブクラスのコンポーネントにスプレッドしても、依然として属性コンテキストから抜け出す可能性があります。本問題はバージョン7.0.6で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.