CVE-2026-66062
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
SvelteKit to framework do szybkiego tworzenia wydajnych aplikacji webowych w Svelte. Przed wersją 2.70.2 parser nagłówków negocjacji treści używany przez SvelteKit (dla nagłówków takich jak Accept) używa wyrażenia regularnego podatnego na kwadratowe cofanie, więc złośliwie spreparowana wartość nagłówka może powodować nadmierne zużycie CPU i degradację lub odmowę usługi. Wersja 2.70.2 naprawia problem.
Ocena ryzyka
Atakujący może łatwo wywołać przeciążenie serwera, co może prowadzić do niedostępności aplikacji i zakłócenia działania usług.
Rekomendacja
Zaktualizuj SvelteKit do wersji 2.70.2 lub nowszej. Rozważ ograniczenie długości nagłówków na poziomie serwera.
Oryginalny opis (angielski, źródło NVD)
SvelteKit is a framework for rapidly developing robust, performant web applications using Svelte. Prior to 2.70.2, the content negotiation header parser used by SvelteKit's request handling (for headers such as Accept) uses a regular expression vulnerable to quadratic backtracking, so a maliciously crafted header value can cause excessive CPU consumption and degrade or deny service. Version 2.70.2 fixes the issue.