PT-2026-120730 · Astro · Astro
CVE-2026-114127
·
Publicado
2026-10-21
·
Atualizado
2026-10-21
CVSS v4.0
2.3
Baixa
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Astro versões 7.1.0 até 7.3.2
Descrição
O gerador de CSS de View Transition no lado do servidor não mantém as propriedades de animação de string dentro de suas declarações geradas. Quando uma aplicação passa dados controlados por um invasor para propriedades como
duration, delay, easing, direction, fillMode ou nomes de animação, delimitadores de CSS podem ser usados para encerrar a declaração e adicionar regras de CSS selecionadas pelo invasor à página renderizada no servidor. Embora caracteres literais de menor sejam escapados, impedindo o encerramento do elemento de estilo ou a injeção direta de HTML e JavaScript, o CSS injetado pode ocultar ou reposicionar conteúdo, adicionar texto gerado, deturpar a interface ou expor dados presentes em atributos DOM selecionáveis por meio de carregamentos de recursos condicionais.Recomendações
Atualizar para a versão 7.3.3.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astro