CVE-2026-22774
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Biblioteka Svelte devalue w wersjach od 5.3.0 do 5.6.1 zawiera podatność na atak DoS. Nieprawidłowe dane wejściowe mogą spowodować nadmierne zużycie CPU i pamięci podczas parsowania przez devalue.parse, co dotyczy systemów przetwarzających dane z niezaufanych źródeł.
Ocena ryzyka
Organizacja narażona jest na ryzyko przerwania działania usług (DoS) w przypadku, gdy aplikacja korzysta z devalue.parse na danych pochodzących z zewnątrz. Atakujący może wysłać spreparowane dane, powodując przeciążenie serwera.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Svelte devalue do wersji 5.6.2 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w Svelte devalue
Zobacz wszystkie- CVE-2026-92708Wysokie
Svelte devalue to biblioteka JavaScript, która serializuje wartości do stringów, gdy JSON.stringify nie wystarcza. W wersjach od 5.1.0 do 5.9.2 funkcje stringify i uneval serializują tablicę typowaną, emitując cały jej bazowy ArrayBuffer zamiast tylko widoku, więc serializacja bufora Node (Buffer), którego magazyn jest współdzieloną pulą procesową, ujawnia do 64 KB niezwiązanej pamięci procesu, w tym bajty z innych żądań w locie. W frameworku renderującym po stronie serwera, takim jak SvelteKit lub Nuxt, publiczna strona, której load() zwraca mały Buffer lub czyta mały plik, może wysłać w swoim HTML treść żądania lub nagłówek Authorization innego użytkownika bez uwierzytelnienia. Ponieważ dzieje się to podczas serializacji, ma to miejsce przy każdym takim renderowaniu i nie jest łagodzone przez zabezpieczenia parse/unflatten przed zanieczyszczeniem prototypu i DoS, które dotyczą tylko parsowania niezaufanych danych. Obejściem jest konwersja obiektów Node Buffer na Uint8Array przed serializacją. Problem naprawiono w wersji 5.9.3.
- CVE-2026-81176Średnie
Svelte devalue to biblioteka JavaScript serializująca wartości do ciągów znaków, gdy JSON.stringify jest niewystarczające. W wersjach przed 5.9.2 funkcja devalue.parse nie odrzuca indeksów poza zakresem (większych lub równych values.length) w src/parse.js. Specjalnie spreparowany niezaufany ładunek może powodować przełączanie parsera między reprezentacjami tablic, generując kwadratowe obciążenie i powodując odmowę usługi w aplikacjach przetwarzających niezaufane dane devalue.
- CVE-2026-42570Wysokie
Biblioteka JavaScript Svelte devalue w wersjach od 5.6.3 do 5.8.0 jest podatna na nadmierne zużycie pamięci podczas deserializacji rzadkich tablic. Atakujący może wykorzystać specyfikę silników JavaScript, aby zmusić devalue.parse do alokacji znacznie więcej pamięci niż potrzebne.
- CVE-2026-22775Wysokie
Biblioteka Svelte devalue w wersjach od 5.1.0 do 5.6.1 zawiera podatność na atak DoS (odmowa usługi) poprzez nadmierne zużycie CPU i pamięci podczas parsowania specjalnie spreparowanych danych wejściowych. Problem wynika z braku walidacji danych przed dekodowaniem base64 w procesie hydratacji ArrayBuffer.
Oryginalny opis (angielski, źródło NVD)
Svelte devalue is a JavaScript library that serializes values into strings when JSON.stringify isn't sufficient for the job. From 5.3.0 to 5.6.1, certain inputs can cause devalue.parse to consume excessive CPU time and/or memory, potentially leading to denial of service in systems that parse input from untrusted sources. This affects applications using devalue.parse on externally-supplied data. The root cause is the typed array hydration expecting an ArrayBuffer as input, but not checking the assumption before creating the typed array. This vulnerability is fixed in 5.6.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS