CVE-2026-59728

Astro məzmun yönümlü veb saytlar üçün veb freymvorkdur. 1.0.0-dan 4.0.18-dək olan versiyalarda, packages/astro-rss/src/index.ts faylındakı source.title və enclosure.type element sahələri, fast-xml-parser tərəfindən təhlil edilməzdən əvvəl XML simvolları ekranlaşdırılmadan birbaşa XML şablon sətirlərinə daxil edilir. Hər iki sahə yalnız z.string() olaraq yoxlanılır və XML xüsusi simvollarına heç bir məhdudiyyət qoyulmur. Bu dəyərləri idarə edən hücumçu yaradılmış RSS axınına ixtiyari XML inyeksiya edə bilər: " işarəsini ehtiva edən dəyər atributdan çıxa bilər (enclosure.type-da olduğu kimi) və </source> ehtiva edən dəyər elementi vaxtından əvvəl bağlayaraq əlavə düyünlər inyeksiya edə bilər (source.title-da olduğu kimi). Bu, axın strukturunu korlayır, yanlış metadata inyeksiya edir (məsələn, zərərli URL-ə yönləndirən saxta <link>) və axın oxuyucularının məlumatları səhv təhlil etməsinə və ya hücumçu tərəfindən idarə olunan məzmunu göstərməsinə səbəb ola bilər. SSR rejimində (output: 'server'), zəhərlənmiş axın hər sorğuda bütün abunəçilərə təqdim olunur. Bu problem 4.0.19 versiyasında düzəldilmişdir.