CVE-2026-59727

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 3.10.0 ile 7.0.3 arasındaki sürümlerde, istemci tarafında hydrate edilen (client:*) bir bileşene transition:persist, transition:scope veya transition:persist-props direktifi uygulandığında, Astro direktif değerini HTML kaçış karakterlerini kullanmadan render edilen <astro-island> öğesine kopyalamaktaydı. Bir geliştirici, saldırgan tarafından kontrol edilen girdiyi bu direktiflerden birine yansıtırsa, saldırgan öznitelikten çıkabilir ve sunucu tarafından render edilen çıktıya rastgele HTML/JavaScript enjekte ederek yansıtılmış siteler arası betik çalıştırma (XSS) gerçekleştirebilir. İstismarın gerçekleşmesi için uygulama geliştiricisinin; güvenilmeyen, istekten türetilen girdileri doğrudan bir geçiş direktifine aktarmak gibi standart dışı bir desen yazmış olması gerekir. Güvenilmeyen girdileri bu direktiflere yönlendirmeyen Astro uygulamaları etkilenmemektedir. Bu sorun 7.0.4 sürümünde düzeltilmiştir.