CVE-2026-45028
Astro: Server island encrypted parameters vulnerable to cross-component replay
Что произошло
Astro is a web framework. Astro versions prior to 6.1.10 used AES-GCM encryption to protect the confidentiality and integrity of server island props and slots parameters, but did not bind the ciphertext to its intended component or parameter type. An attacker could replay one component's encrypted props (p) value as another component's slots (s) value, or vice versa. Since slots contain raw unescaped HTML while props may contain user-controlled values, this could lead to XSS in applications. This occurs when the application uses server islands, two different server island components share the same key name for a prop and a slot, and an attacker has full control over the value of the overlapping prop (requires a dynamically rendered page). This vulnerability is fixed in 6.1.10.
Что это значит
Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
withastro / astro
{
"status": "affected",
"version": "< 6.1.10"
}astro / astro
{
"status": "affected",
"version": "*",
"versionEndExcluding": "6.1.10"
}cpe:2.3:a:astro:astro:*:*:*:*:*:node.js:*:*
astro npm
{
"status": "affected",
"version": "*",
"versionEndExcluding": "6.1.10"
}CVSS: оценки и векторы
CVSS 4.0 · cve2.9
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P
CVSS 4.0 · security-advisories@github.com2.9
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CVSS 3.1 · nvd@nist.gov6.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:17:25.368301+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T19:21:19.555345+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T19:21:19.555345+00:00"
},
"affected": [
"cve",
"nvd",
"osv"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T19:21:19.555345+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:17:25.368301+00:00"
},
"references": [
"cve",
"nvd",
"osv"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T19:21:19.555345+00:00"
},
"workarounds": [],
"configurations": [
"nvd"
]
}Хронология записи
- Данные обновлены05.11.2026, 00:17
- Данные обновлены04.11.2026, 00:13
- Данные обновлены03.11.2026, 00:12
- Данные обновлены02.11.2026, 15:16
- Данные обновлены02.11.2026, 00:11
- Данные обновлены31.10.2026, 11:58
- Данные обновлены28.10.2026, 22:21
- Данные обновлены28.10.2026, 18:06
- Появились сведения об исправлении28.10.2026, 15:14
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-114127 Astro: Arbitrary CSS injection in Astro View Transitions withastro / astro · astro | Средний | 2.3 | 0,5 % | PoC | 21.10.2026 | |
| CVE-2026-41067 Astro: XSS via incomplete `` sanitization in `define:vars` allows case-insensitive and whitespace-based bypass withastro / astro · astro / astro | Высокий | 6.1 | 0,19 % | PoC | 24.04.2026 | |
| CVE-2026-41322 @astrojs/node: Cache Poisoning due to incorrect error handling when if-match header is malformed withastro / astro · @astrojs/node | Высокий | 5.3 | 0,29 % | PoC | 24.04.2026 | |
| CVE-2026-41248 Official Clerk JavaScript SDKs: Middleware-based route protection bypass clerk / astro · clerk / nextjs | Критический | 9.1 | 0,32 % | 25.04.2026 | ||
| CVE-2026-42349 Clerk: Authorization bypass when combining organization, billing, or reverification checks clerk / javascript · @clerk / shared | Критический | 7.6 | 0,25 % | PoC | 11.05.2026 |