CVE-2026-54298
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W wersjach przed 6.4.6 frameworka Astro, funkcja spreadAttributes w pipeline'ie renderowania po stronie serwera nie zabezpieczała kluczy obiektów przed wstrzyknięciem, co umożliwiało atakującym dodawanie dowolnych atrybutów HTML, w tym handlerów zdarzeń.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, które mogą prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację do wersji 6.4.6 lub nowszej, aby zabezpieczyć aplikację przed tą podatnością.
Inne podatności w Astro framework
Zobacz wszystkie- CVE-2026-54299Wysokie
Astro to framework webowy, który przed wersją 6.4.6 miał problem z aplikacjami SSR, które korzystały z prerenderowanych stron błędów. W przypadku wystąpienia błędu, strony te były pobierane przez HTTP, co umożliwiało atakującemu skierowanie żądania do dowolnego hosta.
- CVE-2026-50146Wysokie
Astro to framework webowy, który przed wersją 6.3.3 miał lukę, w której komponenty używające dyrektywy client:* wstawiały zawartość slotu do atrybutu data-astro-template bez odpowiedniego zabezpieczenia, co umożliwiało atakującemu wstrzyknięcie dowolnego HTML i prowadziło do odzwierciedlonego XSS podczas SSR.
Oryginalny opis (angielski, źródło NVD)
Astro is a web framework. Prior to 6.4.6, the spreadAttributes function in Astro's server-side rendering pipeline iterates over object keys and passes them directly to addAttribute, which interpolates the key into the HTML output without escaping. When a developer uses the spread syntax {...props} on an HTML element and the object keys come from an untrusted source (API, CMS, URL parameters), an attacker can inject arbitrary HTML attributes including event handlers like onmousemove, onclick, or break out of the attribute context entirely to inject new elements. This vulnerability is fixed in 6.4.6.