CVE-2026-81176
ŚrednieCVSS 5.3Streszczenie
Svelte devalue to biblioteka JavaScript serializująca wartości do ciągów znaków, gdy JSON.stringify jest niewystarczające. W wersjach przed 5.9.2 funkcja devalue.parse nie odrzuca indeksów poza zakresem (większych lub równych values.length) w src/parse.js. Specjalnie spreparowany niezaufany ładunek może powodować przełączanie parsera między reprezentacjami tablic, generując kwadratowe obciążenie i powodując odmowę usługi w aplikacjach przetwarzających niezaufane dane devalue.
Ocena ryzyka
Atakujący może zdalnie wywołać odmowę usługi poprzez przesłanie złośliwego ładunku devalue, co prowadzi do nadmiernego zużycia zasobów i niedostępności aplikacji.
Rekomendacja
Należy zaktualizować bibliotekę devalue do wersji 5.9.2 lub nowszej, która naprawia tę podatność.
Inne podatności w Svelte devalue
Zobacz wszystkie- CVE-2026-92708Wysokie
Svelte devalue to biblioteka JavaScript, która serializuje wartości do stringów, gdy JSON.stringify nie wystarcza. W wersjach od 5.1.0 do 5.9.2 funkcje stringify i uneval serializują tablicę typowaną, emitując cały jej bazowy ArrayBuffer zamiast tylko widoku, więc serializacja bufora Node (Buffer), którego magazyn jest współdzieloną pulą procesową, ujawnia do 64 KB niezwiązanej pamięci procesu, w tym bajty z innych żądań w locie. W frameworku renderującym po stronie serwera, takim jak SvelteKit lub Nuxt, publiczna strona, której load() zwraca mały Buffer lub czyta mały plik, może wysłać w swoim HTML treść żądania lub nagłówek Authorization innego użytkownika bez uwierzytelnienia. Ponieważ dzieje się to podczas serializacji, ma to miejsce przy każdym takim renderowaniu i nie jest łagodzone przez zabezpieczenia parse/unflatten przed zanieczyszczeniem prototypu i DoS, które dotyczą tylko parsowania niezaufanych danych. Obejściem jest konwersja obiektów Node Buffer na Uint8Array przed serializacją. Problem naprawiono w wersji 5.9.3.
- CVE-2026-42570Wysokie
Biblioteka JavaScript Svelte devalue w wersjach od 5.6.3 do 5.8.0 jest podatna na nadmierne zużycie pamięci podczas deserializacji rzadkich tablic. Atakujący może wykorzystać specyfikę silników JavaScript, aby zmusić devalue.parse do alokacji znacznie więcej pamięci niż potrzebne.
- CVE-2026-22775Wysokie
Biblioteka Svelte devalue w wersjach od 5.1.0 do 5.6.1 zawiera podatność na atak DoS (odmowa usługi) poprzez nadmierne zużycie CPU i pamięci podczas parsowania specjalnie spreparowanych danych wejściowych. Problem wynika z braku walidacji danych przed dekodowaniem base64 w procesie hydratacji ArrayBuffer.
- CVE-2026-22774Wysokie
Biblioteka Svelte devalue w wersjach od 5.3.0 do 5.6.1 zawiera podatność na atak DoS. Nieprawidłowe dane wejściowe mogą spowodować nadmierne zużycie CPU i pamięci podczas parsowania przez devalue.parse, co dotyczy systemów przetwarzających dane z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Svelte devalue is a JavaScript library that serializes values into strings when JSON.stringify isn't sufficient for the job. Prior to 5.9.2, devalue.parse does not reject out-of-bounds indices that are greater than or equal to values.length in src/parse.js. A specially crafted untrusted payload can make the parser alternate between array representations, producing quadratic work as the payload grows and causing denial of service in applications that parse untrusted devalue data. This issue is fixed in version 5.9.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS