CVE-2026-22775
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Biblioteka Svelte devalue w wersjach od 5.1.0 do 5.6.1 zawiera podatność na atak DoS (odmowa usługi) poprzez nadmierne zużycie CPU i pamięci podczas parsowania specjalnie spreparowanych danych wejściowych. Problem wynika z braku walidacji danych przed dekodowaniem base64 w procesie hydratacji ArrayBuffer.
Ocena ryzyka
Organizacje używające devalue.parse do przetwarzania danych z niezaufanych źródeł (np. API, formularze) są narażone na atak DoS, który może spowodować niedostępność aplikacji lub systemu.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Svelte devalue do wersji 5.6.2 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji parse tylko dla zaufanych źródeł danych.
Inne podatności w Svelte devalue
Zobacz wszystkie- CVE-2026-42570Wysokie
Biblioteka JavaScript Svelte devalue w wersjach od 5.6.3 do 5.8.0 jest podatna na nadmierne zużycie pamięci podczas deserializacji rzadkich tablic. Atakujący może wykorzystać specyfikę silników JavaScript, aby zmusić devalue.parse do alokacji znacznie więcej pamięci niż potrzebne.
- CVE-2026-22774Wysokie
Biblioteka Svelte devalue w wersjach od 5.3.0 do 5.6.1 zawiera podatność na atak DoS. Nieprawidłowe dane wejściowe mogą spowodować nadmierne zużycie CPU i pamięci podczas parsowania przez devalue.parse, co dotyczy systemów przetwarzających dane z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Svelte devalue is a JavaScript library that serializes values into strings when JSON.stringify isn't sufficient for the job. From 5.1.0 to 5.6.1, certain inputs can cause devalue.parse to consume excessive CPU time and/or memory, potentially leading to denial of service in systems that parse input from untrusted sources. This affects applications using devalue.parse on externally-supplied data. The root cause is the ArrayBuffer hydration expecting base64 encoded strings as input, but not checking the assumption before decoding the input. This vulnerability is fixed in 5.6.2.