CVE-2026-114128

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 7.3.2 sürümünden önce, Astro'nun JSX ve MDX işleme hattı, derleyici tarafından oluşturulan sabit içeriği dinamik ifade değerlerinden ayırmadan, script ve style öğelerinin dize çocuklarını güvenilir HTML olarak değerlendirmektedir. Saldırgan kontrollü verileri doğrudan dinamik bir çocuk olarak ileten bir uygulama, kapatma script veya style etiketi içeren bir değerin öğeyi sonlandırmasına ve rastgele HTML ile JavaScript enjekte edilmesine izin verebilir. Diğer JSX ifade bağlamları dinamik dizeleri otomatik olarak kaçırır; sorun, MDX bileşenleri dahil olmak üzere astro:jsx işleyicisi aracılığıyla işlenen script ve style çocuklarıyla sınırlıdır. Başarılı bir istismar, uygulamanın kökeni altında yansıtılmış veya depolanmış siteler arası betik çalıştırma (XSS) oluşmasına neden olabilir. Bu sorun 7.3.2 sürümünde düzeltilmiştir.