リモートホストにインストールされている TanStack Start Node.js モジュールのバージョンは、それぞれのパッチ適用バージョンより前の 1.143.12 またはそれ以降です。そのため、クロスサイトスクリプティング脆弱性の影響を受けます:

  - サーバー関数トランスポートは、リクエストペイロードフィールドをパブリック入力フィールドに制限する代わりに内部ミドルウェア状態に渡します。これにより、認証されていない攻撃者が、アプリケーションのオリジンから攻撃者が制御する HTML を返すサーバー関数への URL を細工する可能性があります。訪問者が URL を開くと、注入されたスクリプトが同一生成元データにアクセスし、訪問者の権限でリクエストを発行する可能性があります。(CVE-2026-102989)

影響を受けるパッケージは、 1.169.39 より前の @tanstack/start-server-core、 1.168.60 より前の @tanstack/react-start、 1.168.57 より前の @tanstack/solid-start、 1.168.56 より前の @tanstack/vue-start です。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js モジュール TanStack Start 1.143.12 < 1.168.56 / 1.168.57 / 1.168.60 / 1.169.39 XSS(CVE-2026-102989)

critical Nessus プラグイン ID 371390

バージョン 1.1