CVE-2026-59729

Nome do Software Vulnerável e Versões Afetadas Astro versões anteriores a 7.0.6

Description Um problema de cross-site scripting (XSS) ocorre quando o software é utilizado com um runtime SSR que expõe um HTMLElement global (como Deno, Bun com um shim de DOM, ou jsdom/happy-dom no Node) e uma classe que estende HTMLElement é usada como um componente que recebe props espalhadas (spread props) não confiáveis. A função renderHTMLElement() em packages/astro/src/runtime/server/render/dom.ts interpola nomes de atributos sem escapá-los, permitindo que um atacante que controle as chaves de um objeto espalhado em uma subclasse nativa de HTMLElement injete atributos de manipuladores de eventos arbitrários ou elementos irmãos, como tags <script>, na saída do SSR.

Recommendations Atualize o Astro para a versão 7.0.6. Como medida paliativa temporária, evite espalhar chaves de objetos não confiáveis em componentes que estendam a classe nativa HTMLElement.