CVE-2026-42567
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Framework Svelte w wersjach od 5.51.5 do 5.55.6 zawiera podatność na atak ReDoS (Regular Expression Denial of Service) w elemencie <svelte:element this={tag}></svelte:element>. Wewnętrzne wyrażenie regularne może działać w czasie wykładniczym.
Ocena ryzyka
Atakujący może spowodować znaczne spowolnienie lub zawieszenie aplikacji poprzez podanie specjalnie spreparowanego tagu, prowadząc do odmowy usługi.
Rekomendacja
Zaktualizuj Svelte do wersji 5.55.7 lub nowszej.
Inne podatności w Svelte
Zobacz wszystkie- CVE-2026-42599Średnie
Svelte przed wersją 5.55.7 zawiera podatność polegającą na tym, że podczas renderowania atrybutów z niezaufanych danych przy użyciu składni spread, obsługi zdarzeń są dołączane do wyjściowego HTML. Jeśli aplikacja rozprzestrzenia dane kontrolowane przez użytkownika jako atrybuty elementów, atakujący może wstrzyknąć złośliwe procedury obsługi zdarzeń, które wykonują się w przeglądarkach ofiar. Podatność jest aktywowana tylko wtedy, gdy przeglądarka ofiary ma włączony JavaScript, a mechanizm hydratacji Svelte nie dotrze do podatnego elementu przed wyzwoleniem zdarzenia.
- CVE-2026-42573Średnie
Svelte przed wersją 5.55.7 jest podatny na DOM clobbering wewnętrznego stanu frameworka na elementach, co może prowadzić do ataków XSS.
Oryginalny opis (angielski, źródło NVD)
Svelte is a performance oriented web framework. From version 5.51.5 to before version 5.55.7, an internal regex in the Svelte runtime can take exponential time to test in <svelte:element this={tag}></svelte:element>. This issue has been patched in version 5.55.7.