CVE-2025-67647
KrytyczneStreszczenie
SvelteKit przed wersją 2.49.5 jest podatny na ataki SSRF (Server-Side Request Forgery) i DoS (Denial of Service) w określonych warunkach. Od wersji 2.44.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma co najmniej jedną prerenderowaną trasę. Od 2.19.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma prerenderowaną trasę, używa adapter-node bez skonfigurowanej zmiennej ORIGIN i nie używa odwrotnego proxy z walidacją nagłówka Host. Podatność naprawiona w 2.49.5.
Ocena ryzyka
Atakujący może wykorzystać podatność do przeprowadzenia ataków SSRF lub spowodowania niedostępności aplikacji (DoS).
Rekomendacja
Zaleca się aktualizację SvelteKit do wersji 2.49.5 lub nowszej oraz skonfigurowanie zmiennej ORIGIN i walidacji nagłówka Host.
Inne podatności w SvelteKit
Zobacz wszystkie- CVE-2026-22803Wysokie
SvelteKit w wersjach od 2.49.0 do 2.49.4 zawiera podatność w eksperymentalnej funkcji form remote, która używa binarnego formatu danych do reprezentacji przesłanych danych formularza. Specjalnie spreparowany payload może spowodować alokację dużej ilości pamięci na serwerze, prowadząc do DoS przez wyczerpanie pamięci. Podatność została naprawiona w wersji 2.49.5.
- CVE-2026-82261Wysokie
SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie CPU podczas deserializacji formularzy. Atakujący może wysłać złośliwe dane formularza, powodując brak reakcji serwera podczas przetwarzania żądania, co prowadzi do odmowy usługi. Problem naprawiono w wersji 2.52.2.
- CVE-2026-82260Wysokie
SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie pamięci podczas zdalnej deserializacji formularzy. Złośliwe dane formularza mogą powodować nadmierną alokację pamięci, co prowadzi do awarii procesu serwera i odmowy usługi. Problem naprawiono w wersji 2.52.2.
- CVE-2026-82259Wysokie
SvelteKit w wersjach od 2.49.0 do 2.53.2 (naprawione w 2.53.3) zawiera problem z ekspansją deserializacji w eksperymentalnej funkcji zdalnej formularza. Gdy aplikacja włącza experimental.remoteFunctions i używa funkcji form do przetwarzania tablicy plików bez walidacji files.length lub rozmiarów poszczególnych plików, atakujący może przesłać stosunkowo małe dane, które rozwijają się w bardzo duże tablice plików, prowadząc do kosztownego przetwarzania i odmowy usługi.
- CVE-2026-82258Średnie
SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.
- CVE-2026-82257Średnie
SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.
- CVE-2026-82256Średnie
SvelteKit przed wersją 2.69.1 nie waliduje poprawnie rozmiarów ładunków w zdalnych funkcjach formularzy, co pozwala atakującym na awarię procesu Node przez wysyłanie dużych ładunków. Wielokrotne wykorzystanie powoduje denial of service przez ciągłe awarie procesu aplikacji.
- CVE-2026-66062Średnie
SvelteKit to framework do szybkiego tworzenia wydajnych aplikacji webowych w Svelte. Przed wersją 2.70.2 parser nagłówków negocjacji treści używany przez SvelteKit (dla nagłówków takich jak Accept) używa wyrażenia regularnego podatnego na kwadratowe cofanie, więc złośliwie spreparowana wartość nagłówka może powodować nadmierne zużycie CPU i degradację lub odmowę usługi. Wersja 2.70.2 naprawia problem.
Oryginalny opis (angielski, źródło NVD)
SvelteKit is a framework for rapidly developing robust, performant web applications using Svelte. Prior to 2.49.5, SvelteKit is vulnerable to a server side request forgery (SSRF) and denial of service (DoS) under certain conditions. From 2.44.0 through 2.49.4, the vulnerability results in a DoS when your app has at least one prerendered route (export const prerender = true). From 2.19.0 through 2.49.4, the vulnerability results in a DoS when your app has at least one prerendered route and you are using adapter-node without a configured ORIGIN environment variable, and you are not using a reverse proxy that implements Host header validation. This vulnerability is fixed in 2.49.5.