TanStack załatał krytyczną lukę XSS CVE-2026-102989 w TanStack Start po zgłoszeniu od Lovable

Wpis archiwalny: opisuje wydarzenie z 30 września 2026, a opublikowaliśmy go 8 listopada 2026. Dane pochodzą ze źródeł z tamtego dnia i mogły się od tego czasu zmienić.

30 września 2026 r. TanStack opublikował poprawki dla CVE-2026-102989, krytycznej luki typu odbity cross-site scripting (XSS) w odpowiedziach funkcji serwerowych TanStack Start, co opisał w poście o aktualizacji bezpieczeństwa TanStack Start. Przed wydaniem TanStack prywatnie poinformował dostawców hostingu, dystrybutorów i dotkniętych partnerów oraz podziękował Lovable za pomoc w wykryciu i naprawie problemu.

Na czym polegała luka

• Biuletyn bezpieczeństwa GitHub GHSA-qx66-fv34-fjm8 opisywał nieuwierzytelniony odbity XSS oceniony jako krytyczny, z wynikiem CVSS 3.1 równym 9,3 (AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N).
• Atakujący mógł przygotować adres URL do funkcji serwerowej. Gdy ktoś go otworzył, aplikacja mogła zwrócić kontrolowany przez atakującego kod HTML z własnego źródła (origin) i uruchomić JavaScript atakującego z uprawnieniami tego odwiedzającego.
• Podatne wersje zaczynały się od 1.143.12. Poprawione wydania to @tanstack/react-start 1.168.60, @tanstack/solid-start 1.168.57, @tanstack/vue-start 1.168.56 i @tanstack/start-server-core 1.169.39.
• TanStack podał, że poprawka ograniczała dane przekazywane przez klienta i walidowała odpowiedzi na granicy serwera.

Co to oznaczało dla osób budujących z AI

TanStack Start stanowił podstawę wielu aplikacji zbudowanych z pomocą AI, w tym projektów Lovable. Samo zaktualizowanie lokalnej instalacji nie łatało aplikacji już wdrożonej, więc zespoły hostujące takie aplikacje gdzie indziej musiały same zaktualizować pakiety i wdrożyć je ponownie.

Jak zareagowali Lovable i Netlify

• Lovable podał, że badacz z jego zespołu bezpieczeństwa znalazł lukę 14 września 2026 r., zgłosił ją TanStack tego samego dnia i wdrożył reguły zapory dla aplikacji hostowanych w Lovable. W poście o ochronie aplikacji przed luką w TanStack Start napisał, że w przejrzanych logach nie znalazł śladów wykorzystania luki.
• Agent kodujący Lovable aktualizował TanStack Start do poprawionej wersji przy najbliższej zmianie dotkniętego projektu, użytkownicy mogli zastosować poprawkę na stronie Security projektu bez kosztu w kredytach, a projekty tworzone w Lovable startowały już na poprawionej wersji.
• Netlify zalecił aktualizację jak najszybciej i ostrzegł, że publicznie dostępne podglądy wdrożeń i wdrożenia gałęzi mogą pozostać podatne, dopóki nie zostaną usunięte, w komunikacie bezpieczeństwa o TanStack Start.

Źródła

• TanStack Start security update: CVE-2026-102989 (TanStack, 30 września 2026, oficjalne)
• Unauthenticated reflected XSS in TanStack Start server-function responses (TanStack (GitHub Security Advisory), 30 września 2026, oficjalne)
• A vulnerability in TanStack Start: what we found and what we did to protect your apps (Lovable, 30 września 2026, oficjalne)
• Security Update: Cross-site scripting in TanStack Start (Netlify, 30 września 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.