CVE-2026-82259
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
SvelteKit w wersjach od 2.49.0 do 2.53.2 (naprawione w 2.53.3) zawiera problem z ekspansją deserializacji w eksperymentalnej funkcji zdalnej formularza. Gdy aplikacja włącza experimental.remoteFunctions i używa funkcji form do przetwarzania tablicy plików bez walidacji files.length lub rozmiarów poszczególnych plików, atakujący może przesłać stosunkowo małe dane, które rozwijają się w bardzo duże tablice plików, prowadząc do kosztownego przetwarzania i odmowy usługi.
Ocena ryzyka
Ryzyko polega na możliwości wywołania przeciążenia serwera przez atakującego, co może prowadzić do niedostępności aplikacji i znacznych kosztów operacyjnych.
Rekomendacja
Zaleca się aktualizację SvelteKit do wersji 2.53.3 lub nowszej oraz wdrożenie walidacji rozmiaru i liczby plików w aplikacji.
Inne podatności w SvelteKit
Zobacz wszystkie- CVE-2026-22803Wysokie
SvelteKit w wersjach od 2.49.0 do 2.49.4 zawiera podatność w eksperymentalnej funkcji form remote, która używa binarnego formatu danych do reprezentacji przesłanych danych formularza. Specjalnie spreparowany payload może spowodować alokację dużej ilości pamięci na serwerze, prowadząc do DoS przez wyczerpanie pamięci. Podatność została naprawiona w wersji 2.49.5.
- CVE-2025-67647Krytyczne
SvelteKit przed wersją 2.49.5 jest podatny na ataki SSRF (Server-Side Request Forgery) i DoS (Denial of Service) w określonych warunkach. Od wersji 2.44.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma co najmniej jedną prerenderowaną trasę. Od 2.19.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma prerenderowaną trasę, używa adapter-node bez skonfigurowanej zmiennej ORIGIN i nie używa odwrotnego proxy z walidacją nagłówka Host. Podatność naprawiona w 2.49.5.
- CVE-2026-82261Wysokie
SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie CPU podczas deserializacji formularzy. Atakujący może wysłać złośliwe dane formularza, powodując brak reakcji serwera podczas przetwarzania żądania, co prowadzi do odmowy usługi. Problem naprawiono w wersji 2.52.2.
- CVE-2026-82260Wysokie
SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie pamięci podczas zdalnej deserializacji formularzy. Złośliwe dane formularza mogą powodować nadmierną alokację pamięci, co prowadzi do awarii procesu serwera i odmowy usługi. Problem naprawiono w wersji 2.52.2.
- CVE-2026-82258Średnie
SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.
- CVE-2026-82257Średnie
SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.
- CVE-2026-82256Średnie
SvelteKit przed wersją 2.69.1 nie waliduje poprawnie rozmiarów ładunków w zdalnych funkcjach formularzy, co pozwala atakującym na awarię procesu Node przez wysyłanie dużych ładunków. Wielokrotne wykorzystanie powoduje denial of service przez ciągłe awarie procesu aplikacji.
- CVE-2026-66062Średnie
SvelteKit to framework do szybkiego tworzenia wydajnych aplikacji webowych w Svelte. Przed wersją 2.70.2 parser nagłówków negocjacji treści używany przez SvelteKit (dla nagłówków takich jak Accept) używa wyrażenia regularnego podatnego na kwadratowe cofanie, więc złośliwie spreparowana wartość nagłówka może powodować nadmierne zużycie CPU i degradację lub odmowę usługi. Wersja 2.70.2 naprawia problem.
Oryginalny opis (angielski, źródło NVD)
SvelteKit versions from 2.49.0 through 2.53.2 (fixed in 2.53.3) contain a deserialization expansion issue in the experimental form remote function. When an application enables experimental.remoteFunctions and uses the form function to process the files array without validating files.length or individual file sizes, an attacker can submit relatively small inputs that expand into very large file arrays, leading to expensive processing and denial of service.