CVE-2026-126362

Nome do Software Vulnerável e Versões Afetadas @astrojs/svelte versões 5.7.3 até 9.1.1

Description O renderizador @astrojs/svelte não realiza a codificação HTML de slots nomeados inseridos no atributo name de um wrapper <astro-slot>. Isso permite que um invasor forneça um nome de slot contendo um caractere de aspas para encerrar o atributo e injetar HTML arbitrário, resultando em cross-site scripting refletido. Isso ocorre quando uma página passa uma entrada controlada por requisição como nome de slot, o componente Svelte é hidratado usando uma diretiva client:* e o componente renderiza dinamicamente o slot escolhido pelo invasor. Tanto a renderização no servidor quanto a hidratação no lado do cliente são afetadas.

Recommendations Atualize o @astrojs/svelte para a versão 9.1.2. Como medida paliativa temporária, evite usar entradas controladas por requisição como nome de slot ou mapeie tais entradas para um conjunto fixo de nomes de slot conhecidos antes de passá-las para um componente.