CVE.futuretools
FAQ
NVD NIST
CVE-2026-114127

Astro: Arbitrary CSS injection in Astro View Transitions

CVSS 3.1Low
2.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 7.3.3
Обновите Astro до версии 7.3.4 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Генератор серверных стилей View Transitions в Astro не экранирует параметры анимации, допуская внедрение произвольных CSS-правил.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях с 7.1.0 по 7.3.3 генератор серверного CSS для View Transitions вставляет входные значения параметров (duration, delay, easing, direction, fillMode, animation names) в генерируемые декларации без валидации разделителей. Атакующий может закрыть текущую декларацию и внедрить произвольные CSS-правила. Символ '<' экранируется, что предотвращает выход из тега <style> и исполнение JavaScript.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Подмена стилей на странице: сокрытие элементов интерфейса, смещение блоков и внедрение фишингового текста через CSS-псевдоэлементы.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

withastroastro
>= 7.1.0➔Fix: 7.3.3
——
>= 7.1.0➔Fix: 7.3.3

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114127: Astro: Arbitrary CSS injection in Astro View Transitions. URL: https://cve.futuretools.ru/cve/CVE-2026-114127
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114127,
  title = {{CVE-2026-114127: Astro: Arbitrary CSS injection in Astro View Transitions}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114127}},
  note = {Оперативный инженерный анализ киберугроз}
}