Notícia · TanStack · 3 min de leitura
Data do fato: · Publicado:
A TanStack corrigiu uma falha XSS crítica, a CVE-2026-102989, no TanStack Start após um relato da Lovable
Em 30 de setembro de 2026, a TanStack lançou correções para a CVE-2026-102989, uma falha crítica de XSS refletido no TanStack Start que a equipe de segurança da Lovable encontrou em 14 de setembro. A Lovable protegeu seus apps hospedados e a Netlify publicou orientações de atualização.
Registro de arquivo: cobre um fato de 30 de setembro de 2026, e o publicamos em 8 de novembro de 2026. As informações vêm de fontes daquela data e podem ter mudado desde então.
Em 30 de setembro de 2026, a TanStack lançou correções para a CVE-2026-102989, uma falha crítica de cross-site scripting (XSS) refletido nas respostas das funções de servidor do TanStack Start, conforme descrito em seu post sobre a atualização de segurança do TanStack Start. Antes do lançamento, a TanStack informou em particular provedores de hospedagem, distribuidores e parceiros afetados, e agradeceu à Lovable por ajudar a descobrir e corrigir o problema.
Qual era a vulnerabilidade
- O aviso de segurança do GitHub GHSA-qx66-fv34-fjm8 descrevia um XSS refletido sem autenticação, classificado como crítico, com pontuação CVSS 3.1 de 9,3 (
AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N). - Um invasor podia montar uma URL para uma função de servidor. Se alguém a abrisse, o app podia devolver HTML controlado pelo invasor a partir da própria origem e executar o JavaScript do invasor com o acesso desse visitante.
- As versões afetadas começavam na 1.143.12. As versões corrigidas eram
@tanstack/react-start1.168.60,@tanstack/solid-start1.168.57,@tanstack/vue-start1.168.56 e@tanstack/start-server-core1.169.39. - A TanStack disse que a correção restringia a entrada fornecida pelo cliente e validava as respostas na fronteira do servidor.
O que isso significou para quem constrói com IA
O TanStack Start sustentava muitos apps criados com IA, incluindo projetos da Lovable. Atualizar apenas uma instalação local não corrigia um app que já estava implantado, então as equipes que hospedavam esses apps em outro lugar precisavam atualizar e reimplantar por conta própria.
Como a Lovable e a Netlify responderam
- A Lovable disse que um pesquisador de sua equipe de segurança encontrou a falha em 14 de setembro de 2026, a reportou à TanStack no mesmo dia e aplicou regras de firewall aos apps hospedados na Lovable. Em seu post sobre a proteção dos apps contra a vulnerabilidade do TanStack Start, disse que não encontrou indícios de exploração nos logs que revisou.
- O agente de código da Lovable atualizava o TanStack Start para a versão corrigida na próxima vez que um projeto afetado fosse alterado, os usuários podiam aplicar a correção pela página Security do projeto sem custo em créditos, e os projetos criados na Lovable começavam na versão corrigida.
- A Netlify recomendou atualizar o quanto antes e alertou que prévias de deploy e deploys de branch acessíveis publicamente podiam continuar vulneráveis até serem excluídos, em sua atualização de segurança sobre o TanStack Start.
Fontes
- TanStack Start security update: CVE-2026-102989 (TanStack, 30 de setembro de 2026, oficial)
- Unauthenticated reflected XSS in TanStack Start server-function responses (TanStack (GitHub Security Advisory), 30 de setembro de 2026, oficial)
- A vulnerability in TanStack Start: what we found and what we did to protect your apps (Lovable, 30 de setembro de 2026, oficial)
- Security Update: Cross-site scripting in TanStack Start (Netlify, 30 de setembro de 2026, oficial)
Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.