CVE-2026-114127

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 7.1.0 ile 7.3.3 sürümleri arasında, Astro'nun sunucu tarafı View Transition CSS oluşturucusu, oluşturulan bildirimler içindeki dize animasyon özelliklerini korumamaktadır. duration, delay, easing, direction, fillMode veya animasyon adları gibi özelliklere saldırgan tarafından kontrol edilen verileri aktaran bir uygulama, CSS ayırıcılarının bildirimi sonlandırmasına ve sunucu tarafından işlenen sayfaya saldırganın seçtiği kuralların eklenmesine izin verebilir. Oluşturulan stil sayfası hala gerçek küçüktür (<) karakterlerini kaçırdığından, enjekte edilen içerik stil öğesini sonlandıramaz veya doğrudan HTML ya da JavaScript enjekte edemez. Enjekte edilen CSS içeriği gizleyebilir veya yeniden konumlandırabilir, oluşturulmuş metin ekleyebilir ve arayüzü başka şekillerde yanlış tanıtabilir; bazı uygulamalar ayrıca koşullu kaynak yüklemeleri aracılığıyla seçilebilir DOM özniteliklerinde halihazırda mevcut olan verileri açığa çıkarabilir. Bu sorun 7.3.3 sürümünde düzeltilmiştir.