CVE-2026-114060

SvelteKit w wersjach od 2.49.0 do 2.49.4 zawiera podatność w eksperymentalnej funkcji form remote, która używa binarnego formatu danych do reprezentacji przesłanych danych formularza. Specjalnie spreparowany payload może spowodować alokację dużej ilości pamięci na serwerze, prowadząc do DoS przez wyczerpanie pamięci. Podatność została naprawiona w wersji 2.49.5.

SvelteKit przed wersją 2.49.5 jest podatny na ataki SSRF (Server-Side Request Forgery) i DoS (Denial of Service) w określonych warunkach. Od wersji 2.44.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma co najmniej jedną prerenderowaną trasę. Od 2.19.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma prerenderowaną trasę, używa adapter-node bez skonfigurowanej zmiennej ORIGIN i nie używa odwrotnego proxy z walidacją nagłówka Host. Podatność naprawiona w 2.49.5.

SvelteKit (@sveltejs/kit) w wersjach od 2.10.0 przed 3.0.0 zawiera podatność na path traversal w serwerze vite preview na Windows, pozwalającą nieuwierzytelnionym atakującym czytać pliki poza katalogiem prerenderowanego wyjścia. Atakujący, którzy mogą dotrzeć do serwera preview przez sieć lub tunel, mogą wysłać spreparowane żądania, aby ujawnić kod źródłowy, konfigurację lub poświadczenia czytelne dla procesu serwera.

SvelteKit w wersjach przed 3.0.0 zawiera podatność typu server-side request forgery (SSRF), ponieważ mechanizm self-fetch fallback automatycznie podąża za przekierowaniami HTTP. Atakujący może manipulować nagłówkami Host lub forwarded, aby skierować żądania fallback do własnego serwera, który następnie przekierowuje je do usług wewnętrznych.

SvelteKit (@sveltejs/kit) w wersjach przed 3.0.0 zawiera podatność cross-site scripting (XSS) w prerenderowanych stronach, ponieważ wartość nagłówka cache-control ustawiona przez setHeaders jest wstawiana bez escapowania do tagu <meta http-equiv="cache-control">. Atakujący, który może wpłynąć na tę niezaufaną wartość w czasie prerenderowania, może wyłamać się z atrybutu content i wstrzyknąć HTML lub JavaScript, który wykona się u użytkowników odwiedzających stronę.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie CPU podczas deserializacji formularzy. Atakujący może wysłać złośliwe dane formularza, powodując brak reakcji serwera podczas przetwarzania żądania, co prowadzi do odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie pamięci podczas zdalnej deserializacji formularzy. Złośliwe dane formularza mogą powodować nadmierną alokację pamięci, co prowadzi do awarii procesu serwera i odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.53.2 (naprawione w 2.53.3) zawiera problem z ekspansją deserializacji w eksperymentalnej funkcji zdalnej formularza. Gdy aplikacja włącza experimental.remoteFunctions i używa funkcji form do przetwarzania tablicy plików bez walidacji files.length lub rozmiarów poszczególnych plików, atakujący może przesłać stosunkowo małe dane, które rozwijają się w bardzo duże tablice plików, prowadząc do kosztownego przetwarzania i odmowy usługi.

SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.

SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.