Më 15 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-qx66-fv34-fjm8 (CVE-2026-102989) për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën @tanstack/start-server-core të ekosistemit npm. Dobësia prek gjithsej 4 paketa.
Paketat e prekura
- @tanstack/start-server-core (npm) — versionet e prekura:
>= 1.143.12, < 1.169.39; versioni me rregullim:1.169.39 - @tanstack/react-start (npm) — versionet e prekura:
>= 1.143.12, < 1.168.60; versioni me rregullim:1.168.60 - @tanstack/solid-start (npm) — versionet e prekura:
>= 1.143.12, < 1.168.57; versioni me rregullim:1.168.57 - @tanstack/vue-start (npm) — versionet e prekura:
>= 1.143.12, < 1.168.56; versioni me rregullim:1.168.56
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))
- Identifikuesit: GHSA-qx66-fv34-fjm8, CVE-2026-102989
Përmbledhja zyrtare (në anglisht)
TanStack Router: Unauthenticated reflected XSS in TanStack Start server-function responses — Impact An unauthenticated attacker can craft a URL to a server function in an affected TanStack Start app. If someone opens the link, the app can return attacker-controlled HTML from its own origin and run the attacker's JavaScript there. The script can access same-origin data available to that visitor and make requests with their authority. Cause The server-function transport can pass request payload fields into internal middleware state instead of limiting them to public input fields. A malformed payload can…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @tanstack/start-server-core, përditësojeni sa më shpejt në versionin 1.169.39 ose më të ri.
