- Yama var
- Son 7 gün
- CWE-79
CVE-2026-114128
Astro'da script ve style etiketlerinde kaçışlanmayan içerik nedeniyle siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Astro, içerik odaklı web siteleri için bir web çatısıdır. 7.3.2 sürümünden önceki Astro sürümlerinde, JSX ve MDX işleme hattı, script ve style öğelerinin metin içeriklerini, derleyici tarafından üretilen sabit içerik ile dinamik ifade değerlerini ayırt etmeden güvenilir HTML olarak ele almaktadır. Saldırganın kontrolündeki veriyi doğrudan dinamik bir alt öğe olarak geçiren bir uygulamada, kapanış script veya style etiketi içeren bir değer öğeyi sonlandırabilir ve keyfi HTML ile JavaScript enjekte edilmesine izin verebilir. Diğer JSX ifade bağlamları dinamik dizeleri otomatik olarak kaçışlar; sorun yalnızca astro:jsx işleyicisi üzerinden, MDX bileşenleri dahil, işlenen script ve style alt öğeleriyle sınırlıdır. Başarılı bir istismar, uygulamanın kökeni altında yansıtılmış veya kalıcı siteler arası betik çalıştırma (XSS) ile sonuçlanabilir. Bu sorun 7.3.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Astro is a web framework for content-driven websites. Prior to 7.3.2, Astro's JSX and MDX rendering pipeline treats string children of script and style elements as trusted HTML without distinguishing compiler-generated literal content from dynamic expression values. An application that passes attacker-controlled data directly as a dynamic child can allow a value containing a closing script or style tag to terminate the element and inject arbitrary HTML and JavaScript. Other JSX expression contexts escape dynamic strings automatically; the issue is limited to script and style children rendered through the astro:jsx renderer, including MDX components. Successful exploitation can produce reflected or stored cross-site scripting under the application's origin. This issue is fixed in 7.3.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| withastro astro | < 7.3.2 | 7.3.2 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.