CVE-2026-59729
Təsvir
Astro məzmun yönümlü veb saytlar üçün veb freymvorkdur. 7.0.6 versiyasından əvvəlki versiyalar renderHTMLElement funksiyasında escape edilməmiş spread atribut adları vasitəsilə XSS-ə qarşı həssasdır. CVE-2026-54298 (GHSA-jrpj-wcv7-9fh9) üçün tətbiq edilən düzəliş addAttribute() funksiyasına INVALID_ATTR_NAME_CHAR mühafizəsini əlavə etdi ki, beləliklə "' >/= və ya boşluq ehtiva edən spread-prop atribut adları silinsin. İkinci bir atribut render yolu olan packages/astro/src/runtime/server/render/dom.ts faylındakı renderHTMLElement() funksiyası, addAttribute() vasitəsilə keçməyən öz daxili atribut dövrünə malikdir və yenilənməmişdir. Bu funksiya atribut adını escape etmədən interpolasiya edir və yalnız dəyəri escape edir, buna görə də native-HTMLElement-subclass komponentinə ötürülmüş etibarsız prop açarları hələ də atribut kontekstindən çıxa bilir. Bu problem 7.0.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- astro7.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| astronpm | v < 7.0.6 | 7.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.