PT-2026-120730 · Astro · Astro
CVE-2026-114127
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-21
CVSS v4.0
2.3
منخفضة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المصاب والإصدارات المتأثرة
Astro الإصدارات من 7.1.0 إلى 7.3.2
الوصف
يفشل مولد CSS الخاص بـ View Transition في جانب الخادم في الحفاظ على خصائص رسوم الحركة النصية ضمن التصريحات التي يتم إنشاؤها. عندما يقوم تطبيق بتمرير بيانات يتحكم فيها المهاجم إلى خصائص مثل
duration أو delay أو easing أو direction أو fillMode أو أسماء رسوم الحركة، يمكن استخدام محددات CSS لإنهاء التصريح وإضافة قواعد CSS يختارها المهاجم إلى الصفحة التي يتم عرضها من الخادم. وعلى الرغم من أن رموز "أصغر من" يتم تحويلها لمنع إنهاء عنصر النمط أو حقن HTML أو JavaScript بشكل مباشر، إلا أنه يمكن استخدام CSS المحقون لإخفاء المحتوى أو إعادة تموضعه، أو إضافة نص مولد، أو تضليل الواجهة؛ وقد تكشف بعض التطبيقات عن بيانات موجودة بالفعل في سمات DOM القابلة للتحديد من خلال تحميل الموارد المشروطة.التوصيات
التحديث إلى الإصدار 7.3.3.
استغلال
إصلاح
XSS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Astro