Node.js 模組 TanStack 啟動 < / / 1.168.60 / XSS 1.169.39 （CVE-2026-102989） 1.168.571.168.561.143.12

critical Nessus Plugin ID 371390

語言:

概要

Node.js JavaScript 執行階段環境中的模組會受到跨網站指令碼弱點的影響。

說明

遠端主機 1.143.12 上安裝的 TanStack Start Node.js 模組版本是或更新版本，早於其各自的修補版本。因此，它們會受到跨網站指令碼弱點的影響：

- 伺服器函式傳輸會將要求承載欄位傳遞至內部中介軟體狀態，而不是將它們限制為公用輸入欄位，因此未經驗證的攻擊者可以製作伺服器函式的 URL，以從應用程式的來源傳回攻擊者控制的 HTML。如果訪客開啟 URL，插入的指令碼可以存取同源資料，並以訪客的權限發出要求。（CVE-2026-102989）

受影響的套件是之前的 1.169.39@tanstack/start-server-core、之前 1.168.60的 @tanstack/react-start、之前的 @tanstack/solid-start 1.168.57和之前的 @tanstack/vue-start 1.168.56之前。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

將 @tanstack/start-server-core 升級到版本 1.169.39，將 @tanstack/react-start 升級到版本 1.168.60，將 @tanstack/solid-start 升級到版本 1.168.57，或將 @tanstack/vue-start 升級到 1.168.56 版本或更新版本。