CVE-2026-126363

Nome do Software Vulnerável e Versões Afetadas @astrojs/solid-js versões 0.2.0 até 7.1.1

Description O renderizador @astrojs/solid-js não realiza a codificação HTML do slot nomeado inserido no atributo name de um wrapper <astro-slot>. Isso permite que um nome de slot controlado por requisição contendo uma aspa encerre o atributo e injete HTML ativo, resultando em cross-site scripting refletido. Isso ocorre quando uma página passa uma entrada controlada por requisição como nome de slot, o componente Solid é hidratado usando uma diretiva client:* e o componente acessa dinamicamente a propriedade de slot escolhida pelo invasor.

Recommendations Atualize o @astrojs/solid-js para a versão 7.1.2. Como medida paliativa temporária, evite usar entradas controladas por requisição como nome de slot ou mapeie tais entradas para um conjunto fixo de nomes de slot conhecidos antes de passá-las para um componente.