CVE-2026-54298
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 — wyżej niż 6% wszystkich znanych CVE
Streszczenie
W wersjach przed 6.4.6 frameworka Astro, funkcja spreadAttributes w pipeline'ie renderowania po stronie serwera nie zabezpieczała kluczy obiektów przed wstrzyknięciem, co umożliwiało atakującym dodawanie dowolnych atrybutów HTML, w tym handlerów zdarzeń.
Ocena ryzyka
Organizacje mogą być narażone na ataki XSS, które mogą prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację do wersji 6.4.6 lub nowszej, aby zabezpieczyć aplikację przed tą podatnością.
Oryginalny opis (angielski, źródło NVD)
Astro is a web framework. Prior to 6.4.6, the spreadAttributes function in Astro's server-side rendering pipeline iterates over object keys and passes them directly to addAttribute, which interpolates the key into the HTML output without escaping. When a developer uses the spread syntax {...props} on an HTML element and the object keys come from an untrusted source (API, CMS, URL parameters), an attacker can inject arbitrary HTML attributes including event handlers like onmousemove, onclick, or break out of the attribute context entirely to inject new elements. This vulnerability is fixed in 6.4.6.