CVE-2026-73422 in Astro
要約
〜によって VulDB • 2026年08月12日
Astroは、コンテンツ駆動型のウェブサイト向けのWebフレームワークです。バージョン2.9.0から7.1.0にかけて、AstroのサーバーサイドView Transition CSSジェネレーターは、CSSおよびHTMLコンテキストに対してエスケープ処理を行わずにアニメーションプロパティをインラインスタイル要素内に補間していました。攻撃者が制御可能なView Transitionアニメーション値（例：duration）を使用すると、生成されたstyle要素を終了させ、任意のHTMLやJavaScriptを注入することができます。影響を受けるコードは `packages/astro/src/runtime/server/transition.ts` にあり、`renderTransition` は `sheet.toString()` を `markHTMLString()` へ渡す一方、`addAnimationProperty` は `toTimeValue()` を通じて duration をシリアライズし、さらに easing、direction、delay、fillMode、name も処理します。この脆弱性を悪用するには、オンデマンドまたはサーバーレンダリングされたルートが攻撃者が制御するデータをView Transitionアニメーション定義に渡す必要があり、これにより影響を受けるアプリケーションのオリジン内で任意のJavaScriptを実行することが可能になります。その結果、被害者に対して利用可能な機密性の高いページデータや認証済みアクションへのアクセスが許可されます。この問題はバージョン7.1.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.