CVE-2025-64764CVE-2025-64764是Astro web框架中的一个高危安全漏洞，CVSS评分7.1。该漏洞为反射型跨站脚本攻击（Reflected XSS）漏洞，影响Astro 5.15.8之前的所有版本。漏洞存在于Astro框架的Server Islands功能中，当应用程序启用并使用Server Islands功能时，攻击者可以通过精心构造的恶意输入触发XSS攻击。攻击者利用该漏洞可以在受害者的浏览器中执行任意JavaScript代码，从而窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或植入恶意代码。由于Server Islands功能是Astro框架的核心特性之一，该漏洞的影响范围较广，所有使用受影响版本Astro构建的Web应用都可能受到威胁。建议所有使用Astro框架的开发者立即升级到5.15.8或更高版本以修复此安全漏洞。
该反射型XSS漏洞存在于Astro框架的Server Islands功能模块中。Server Islands是Astro框架提供的一种服务端渲染特性，允许在静态页面中嵌入服务端组件。当用户请求包含恶意构造参数的URL时，Astro框架在处理Server Islands渲染时未对用户输入进行充分的输出编码和验证。攻击者可以在URL参数或表单数据中嵌入恶意JavaScript代码（如<script>alert(document.cookie)</script>），该代码会被反射到页面响应中并在受害者浏览器中执行。由于Astro框架在处理服务端渲染时对用户输入的过滤不足，导致恶意脚本绕过安全检查直接输出到HTML中。攻击者利用此漏洞需要诱导用户访问恶意构造的链接，需要一定的用户交互（如点击链接）。成功利用后可获取用户敏感信息、劫持会话、执行任意前端操作等。漏洞的根源在于Astro框架在处理Server Islands渲染时缺少对用户输入的上下文感知输出编码。