Dans Astro, le générateur CSS côté serveur des transitions de vue ne confinait pas certaines propriétés d’animation textuelles à leurs déclarations. Des données contrôlées par un attaquant pouvaient injecter des règles CSS et déformer l’interface ; le correctif est disponible dans Astro 7.3.3.
Source : NVD — CVE-2026-114127
Analyse technique
Les propriétés concernées incluent durée, délai, fonction d’accélération, direction, mode de remplissage et noms d’animation. Le contenu généré échappe les chevrons « inférieur à » : l’injection ne permet pas de fermer l’élément style ni d’injecter directement du HTML ou du JavaScript ; certaines applications peuvent toutefois exposer des données déjà présentes dans des attributs DOM sélectionnables.
Impact, versions et correctif
Action recommandée
Mettre à jour Astro vers la version 7.3.3 et éviter de transmettre des données non fiables aux propriétés concernées.
Sources
Priorisation DFS : P4 · 1 source(s).