CVE-2026-59727

Astro məzmun yönümlü veb saytlar üçün veb freymvorkdur. 3.10.0 və 7.0.3 versiyaları arasında, klient tərəfində hidratasiya olunan (client:*) komponentə transition:persist, transition:scope və ya transition:persist-props direktivi tətbiq edildikdə, Astro direktiv dəyərini HTML-escape etmədən render edilmiş <astro-island> elementinə kopyalayırdı. Əgər tərtibatçı hücumçu tərəfindən idarə olunan girişi bu direktivlərin birinə əks etdirirsə, hücumçu atributdan çıxa və server tərəfindən render edilmiş nəticəyə ixtiyari HTML/JavaScript inyeksiya edə bilər ki, bu da refleksiya edilmiş saytlararası skriptinqə (XSS) səbəb olar. Eksploytasiya üçün tətbiq tərtibatçısının qeyri-idiomatik model yazmış olması — etibarsız, sorğudan törəmiş girişin birbaşa transition direktivinə ötürülməsi tələb olunur. Etibarsız girişləri bu direktivlərə yönləndirməyən Astro tətbiqləri bundan təsirlənmir. Bu problem 7.0.4 versiyasında düzəldilmişdir.