概要
Astro の SSR パイプラインにおける spreadAttributes 関数が、オブジェクトキーを HTML 出力に直接補間する際にエスケープを行っていなかった脆弱性です（GHSA-jrpj-wcv7-9fh9）。開発者が HTML 要素に {...props} スプレッド構文を使用し、オブジェクトキーが外部ソース（API・CMS・URL パラメータ）由来の場合、攻撃者は onmousemove などのイベントハンドラを含む任意の HTML 属性を注入できます。
CVSS 3.1 ベクトル: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N（スコア: 3.7）
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| astro (npm) | 6.4.6 未満 | 6.4.6 |
修正バージョンと対応策
- astro を 6.4.6 以上にアップデートする
- スプレッド構文
{...props}に渡すオブジェクトキーが外部入力由来の場合、サーバーサイドで許可リスト検証を実装することも有効です
関連リンク
データソース: GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。