CVE-2026-42599
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Svelte przed wersją 5.55.7 zawiera podatność polegającą na tym, że podczas renderowania atrybutów z niezaufanych danych przy użyciu składni spread, obsługi zdarzeń są dołączane do wyjściowego HTML. Jeśli aplikacja rozprzestrzenia dane kontrolowane przez użytkownika jako atrybuty elementów, atakujący może wstrzyknąć złośliwe procedury obsługi zdarzeń, które wykonują się w przeglądarkach ofiar. Podatność jest aktywowana tylko wtedy, gdy przeglądarka ofiary ma włączony JavaScript, a mechanizm hydratacji Svelte nie dotrze do podatnego elementu przed wyzwoleniem zdarzenia.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe procedury obsługi zdarzeń, co prowadzi do wykonania kodu w przeglądarce ofiary i potencjalnej kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się natychmiastową aktualizację Svelte do wersji 5.55.7 lub nowszej.
Inne podatności w Svelte
Zobacz wszystkie- CVE-2026-42573Średnie
Svelte przed wersją 5.55.7 jest podatny na DOM clobbering wewnętrznego stanu frameworka na elementach, co może prowadzić do ataków XSS.
- CVE-2026-42567Wysokie
Framework Svelte w wersjach od 5.51.5 do 5.55.6 zawiera podatność na atak ReDoS (Regular Expression Denial of Service) w elemencie <svelte:element this={tag}></svelte:element>. Wewnętrzne wyrażenie regularne może działać w czasie wykładniczym.
Oryginalny opis (angielski, źródło NVD)
Svelte is a performance oriented web framework. Prior to version 5.55.7, when using spread syntax to render attributes from untrusted data, event handler properties are included in the rendered HTML output. If an application spreads user-controlled or external data as element attributes, an attacker can inject malicious event handlers that execute in victims' browsers. Note that this vulnerability only triggers if the user's browser has JavaScript enabled but Svelte's hydration mechanism does not reach the vulnerable element before the event fires. This issue has been patched in version 5.55.7.