CVE-2026-42573
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Svelte przed wersją 5.55.7 jest podatny na DOM clobbering wewnętrznego stanu frameworka na elementach, co może prowadzić do ataków XSS.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary, kradnąc dane lub przejmując sesję.
Rekomendacja
Zaktualizuj Svelte do wersji 5.55.7 lub nowszej.
Inne podatności w Svelte
Zobacz wszystkie- CVE-2026-42599Średnie
Svelte przed wersją 5.55.7 zawiera podatność polegającą na tym, że podczas renderowania atrybutów z niezaufanych danych przy użyciu składni spread, obsługi zdarzeń są dołączane do wyjściowego HTML. Jeśli aplikacja rozprzestrzenia dane kontrolowane przez użytkownika jako atrybuty elementów, atakujący może wstrzyknąć złośliwe procedury obsługi zdarzeń, które wykonują się w przeglądarkach ofiar. Podatność jest aktywowana tylko wtedy, gdy przeglądarka ofiary ma włączony JavaScript, a mechanizm hydratacji Svelte nie dotrze do podatnego elementu przed wyzwoleniem zdarzenia.
- CVE-2026-42567Wysokie
Framework Svelte w wersjach od 5.51.5 do 5.55.6 zawiera podatność na atak ReDoS (Regular Expression Denial of Service) w elemencie <svelte:element this={tag}></svelte:element>. Wewnętrzne wyrażenie regularne może działać w czasie wykładniczym.
Oryginalny opis (angielski, źródło NVD)
Svelte is a performance oriented web framework. Prior to version 5.55.7, Svelte was vulnerable to DOM clobbering of its internal framework state on elements, potentially leading to XSS attacks. This issue has been patched in version 5.55.7.