CVE-2026-59729

Astro, içerik odaklı web siteleri için bir web çerçevesidir. 7.0.6 öncesindeki sürümler, renderHTMLElement içindeki kaçış karakterleri uygulanmamış spread öznitelik adları üzerinden XSS'e karşı savunmasızdır. CVE-2026-54298 (GHSA-jrpj-wcv7-9fh9) için yayınlanan düzeltme, "' >/= veya boşluk içeren spread-prop öznitelik adlarının düşürülmesi için addAttribute() fonksiyonuna bir INVALID_ATTR_NAME_CHAR koruması eklemiştir. İkinci bir öznitelik oluşturma yolu olan packages/astro/src/runtime/server/render/dom.ts dosyasındaki renderHTMLElement(), addAttribute() üzerinden geçmeyen ve güncellenmemiş kendi satır içi öznitelik döngüsüne sahiptir. Bu işlem, öznitelik adını kaçış karakterleri olmadan yerleştirir ve yalnızca değeri temizler; bu nedenle, bir native-HTMLElement-subclass bileşenine yayılan güvenilmeyen prop anahtarları hala öznitelik bağlamından çıkabilir. Bu sorun 7.0.6 sürümünde düzeltilmiştir.