Veille sécuritéFrontend
P4Moyenne
Dans le rendu JSX et MDX d’Astro, les chaînes dynamiques placées comme enfants d’éléments `script` ou `style` étaient traitées comme du HTML de confiance. Une donnée contrôlée par un attaquant pouvait sortir de l’élément et injecter du HTML et du JavaScript, entraînant une XSS ; mettez Astro à jour vers 7.3.2.
AstroJavaScript
IdentifiantCVE-2026-114128
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.3.2
Source : NVD — CVE-2026-114128
Analyse technique
Le problème concerne les enfants dynamiques rendus par le renderer `astro:jsx`, y compris les composants MDX ; les autres contextes d’expression JSX échappent automatiquement les chaînes dynamiques.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21, pendant la période demandée.
ImpactUne exploitation pouvait exécuter du JavaScript dans l’origine de l’application, par XSS réfléchie ou stockée.
Versions affectéesVersions antérieures à 7.3.2
Version corrigée7.3.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-21T18:17:25.507Z
Mise à jour2026-10-21T18:17:25.507Z
Action recommandée
Mettre à jour Astro vers la version 7.3.2 et ne pas transmettre de données non fiables comme enfants dynamiques de `script` ou `style`.
Sources
Priorisation DFS : P4 · 1 source(s).