🇰🇷 한글 설명
Astro 웹 프레임워크의 서버 측 View Transition CSS 생성기에서 CSS 및 HTML 컨텍스트에 대한 이스케이프 처리가 누락된 취약점이 발견되었습니다. 공격자가 제어 가능한 애니메이션 속성 값을 통해 스타일 요소를 종료하고 임의의 HTML 또는 JavaScript를 주입할 수 있습니다. 이 취약점은 버전 2.9.0부터 7.1.0 미만 버전까지 영향을 미칩니다.
💡 쉬운 설명
웹사이트의 화면 전환 효과를 만드는 과정에서 보안 검사가 제대로 이루어지지 않아 발생하는 문제입니다. 해커가 특수하게 조작된 코드를 보내면 사용자의 브라우저에서 악성 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Astro is a web framework for content-driven websites. From 2.9.0 until 7.1.0, Astro's server-side View Transition CSS generator interpolates animation properties into an inline style element without escaping them for CSS and HTML contexts. An attacker-controlled View Transition animation value such as duration can terminate the generated style element and inject arbitrary HTML or JavaScript. The affected code is packages/astro/src/runtime/server/transition.ts; renderTransition passes sheet.toString() into markHTMLString(), while addAnimationProperty serializes duration through toTimeValue() and also handles easing, direction, delay, fillMode, and name. Exploitation requires an on-demand or server-rendered route to pass attacker-controlled data into a View Transition animation definition and can execute arbitrary JavaScript in the affected application's origin, allowing access to sensitive page data and authenticated actions available to the victim. This issue is fixed in version 7.1.0.
📍 영향받는 시스템
Astro framework (versions 2.9.0 to 7.1.0)
⚔️ 공격 벡터
공격자가 제어 가능한 View Transition 애니메이션 속성(duration 등)을 통해 HTML/JavaScript 주입
🛡️ 대응 방법
Astro 프레임워크를 최신 버전인 7.1.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Astro의 버전을 확인하여 7.1.0 미만인지 확인합니다.
npm list astro | grep astro
💻 영향받는 소프트웨어
IBM WebSphere Application Server