Node.js 模块 TanStack 启动 1.143.12 < 1.168.56 / 1.168.57 / 1.168.60 / 1.169.39 XSS （CVE-2026-102989）

critical Nessus 插件 ID 371390

语言：

简介

Node.js JavaScript 运行环境下的模块受到跨站脚本漏洞的影响。

描述

远程主机上安装的 TanStack Start Node.js 模块版本为或低于 1.143.12 其各自修补版本的更高版本。因此，它们受到跨站脚本漏洞的影响：

- 服务器函数传输将请求负载字段传递到内部中间件状态，而不是将其限制为公共输入字段，从而允许未经认证的攻击者构建服务器函数的 URL，从应用程序的源返回攻击者控制的 HTML。如果访问者打开 URL，注入的脚本便可访问同源数据，并以访问者的权限发出请求。（CVE-2026-102989）

受影响的程序包为低于 1.169.39@tanstack/start-server-core、低于 @tanstack/react-start 1.168.60、低于 @tanstack/solid-start 1.168.57，以及低于 @tanstack/vue-start 1.168.56。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

将 @tanstack/start-server-core 升级到版本 1.169.39、将 @tanstack/react-start 升级到版本 1.168.60、将 @tanstack/solid-start 升级到版本 1.168.57或将 @tanstack/vue-start 升级到更高版本 1.168.56 。