CVE-2026-59728

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 1.0.0 ile 4.0.18 arasındaki sürümlerde, packages/astro-rss/src/index.ts içindeki source.title ve enclosure.type öğe alanları, fast-xml-parser tarafından ayrıştırılmadan önce XML karakter kaçışı yapılmadan doğrudan XML şablon dizelerine yerleştirilmektedir. Her iki alan da yalnızca z.string() olarak doğrulanmakta ve XML özel karakterleri üzerinde herhangi bir kısıtlama getirmemektedir. Bu değerleri kontrol eden bir saldırgan, oluşturulan RSS akışına rastgele XML enjekte edebilir: " içeren bir değer bir öznitelikten çıkabilir (enclosure.type durumunda olduğu gibi) ve </source> içeren bir değer bir öğeyi erken kapatıp ek düğümler enjekte edebilir (source.title durumunda olduğu gibi). Bu durum akış yapısını bozar, yanlış üstveri enjekte eder (örneğin, kötü amaçlı bir URL'ye işaret eden sahte bir <link>) ve akış okuyucuların saldırgan tarafından kontrol edilen içeriği yanlış ayrıştırmasına veya görüntülemesine neden olabilir. SSR modunda (output: 'server'), zehirlenmiş akış tüm abonelere yapılan her istekte sunulur. Bu sorun 4.0.19 sürümünde düzeltilmiştir.