CVE-2026-82256

SvelteKit w wersjach od 2.49.0 do 2.49.4 zawiera podatność w eksperymentalnej funkcji form remote, która używa binarnego formatu danych do reprezentacji przesłanych danych formularza. Specjalnie spreparowany payload może spowodować alokację dużej ilości pamięci na serwerze, prowadząc do DoS przez wyczerpanie pamięci. Podatność została naprawiona w wersji 2.49.5.

SvelteKit przed wersją 2.49.5 jest podatny na ataki SSRF (Server-Side Request Forgery) i DoS (Denial of Service) w określonych warunkach. Od wersji 2.44.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma co najmniej jedną prerenderowaną trasę. Od 2.19.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma prerenderowaną trasę, używa adapter-node bez skonfigurowanej zmiennej ORIGIN i nie używa odwrotnego proxy z walidacją nagłówka Host. Podatność naprawiona w 2.49.5.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie CPU podczas deserializacji formularzy. Atakujący może wysłać złośliwe dane formularza, powodując brak reakcji serwera podczas przetwarzania żądania, co prowadzi do odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie pamięci podczas zdalnej deserializacji formularzy. Złośliwe dane formularza mogą powodować nadmierną alokację pamięci, co prowadzi do awarii procesu serwera i odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.53.2 (naprawione w 2.53.3) zawiera problem z ekspansją deserializacji w eksperymentalnej funkcji zdalnej formularza. Gdy aplikacja włącza experimental.remoteFunctions i używa funkcji form do przetwarzania tablicy plików bez walidacji files.length lub rozmiarów poszczególnych plików, atakujący może przesłać stosunkowo małe dane, które rozwijają się w bardzo duże tablice plików, prowadząc do kosztownego przetwarzania i odmowy usługi.

SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.

SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.

SvelteKit to framework do szybkiego tworzenia wydajnych aplikacji webowych w Svelte. Przed wersją 2.70.2 parser nagłówków negocjacji treści używany przez SvelteKit (dla nagłówków takich jak Accept) używa wyrażenia regularnego podatnego na kwadratowe cofanie, więc złośliwie spreparowana wartość nagłówka może powodować nadmierne zużycie CPU i degradację lub odmowę usługi. Wersja 2.70.2 naprawia problem.