CVE-2026-42570
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Biblioteka JavaScript Svelte devalue w wersjach od 5.6.3 do 5.8.0 jest podatna na nadmierne zużycie pamięci podczas deserializacji rzadkich tablic. Atakujący może wykorzystać specyfikę silników JavaScript, aby zmusić devalue.parse do alokacji znacznie więcej pamięci niż potrzebne.
Ocena ryzyka
Ryzyko wyczerpania pamięci serwera lub przeglądarki, co może prowadzić do odmowy usługi (DoS) i zakłócenia działania aplikacji.
Rekomendacja
Zaleca się aktualizację biblioteki devalue do wersji 5.8.1 lub nowszej.
Inne podatności w Svelte devalue
Zobacz wszystkie- CVE-2026-22775Wysokie
Biblioteka Svelte devalue w wersjach od 5.1.0 do 5.6.1 zawiera podatność na atak DoS (odmowa usługi) poprzez nadmierne zużycie CPU i pamięci podczas parsowania specjalnie spreparowanych danych wejściowych. Problem wynika z braku walidacji danych przed dekodowaniem base64 w procesie hydratacji ArrayBuffer.
- CVE-2026-22774Wysokie
Biblioteka Svelte devalue w wersjach od 5.3.0 do 5.6.1 zawiera podatność na atak DoS. Nieprawidłowe dane wejściowe mogą spowodować nadmierne zużycie CPU i pamięci podczas parsowania przez devalue.parse, co dotyczy systemów przetwarzających dane z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Svelte devalue is a JavaScript library that serializes values into strings when JSON.stringify isn't sufficient for the job. From version 5.6.3 to before version 5.8.1, devalue.parse could, due to quirks in some JavaScript engines, be convinced to allocate much more memory than was needed when deserializing sparse arrays, leading to excessive memory consumption. This issue has been patched in version 5.8.1.