CVE-2026-73422 in Astro
Sumário
de VulDB • 12/08/2026
Astro é um framework web para sites orientados por conteúdo. Da versão 2.9.0 até a 7.1.0, o gerador de CSS View Transition do lado do servidor do Astro interpola propriedades de animação em um elemento style inline sem escapá-las adequadamente para os contextos de CSS e HTML. Um valor de animação View Transition controlado por um atacante, como a duração (duration), pode encerrar o elemento style gerado e injetar HTML ou JavaScript arbitrário. O código afetado está localizado em packages/astro/src/runtime/server/transition.ts; renderTransition passa sheet.toString() para markHTMLString(), enquanto addAnimationProperty serializa duration através de toTimeValue() e também lida com easing, direction, delay, fillMode e name. A exploração requer que uma rota on-demand ou server-rendered passe dados controlados por um atacante para a definição da animação View Transition, permitindo executar JavaScript arbitrário na origem do aplicativo afetado, o que concede acesso a dados sensíveis da página e ações autenticadas disponíveis à vítima. Este problema foi corrigido na versão 7.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.