PT-2026-49739 · Astro · Astro
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Astro versões anteriores a 6.4.6
Description
A função
spreadAttributes no pipeline de renderização do lado do servidor itera sobre chaves de objetos e as passa para a função addAttribute(), que interpola a chave na saída HTML sem a devida sanitização. Quando um desenvolvedor utiliza a sintaxe de espalhamento {...props} em um elemento HTML e as chaves do objeto originam-se de fontes não confiáveis, como APIs, CMS ou parâmetros de URL, um invasor pode injetar atributos HTML arbitrários. Isso inclui manipuladores de eventos como onmousemove e onclick, ou a quebra do contexto do atributo para injetar novos elementos, resultando em cross-site scripting (XSS).Recommendations
Atualize para a versão 6.4.6.
Como medida paliativa temporária, evite usar a sintaxe de espalhamento
{...props} em elementos HTML quando as chaves do objeto vierem de fontes não confiáveis.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astro