Podatności Svelte
3 znanych podatności CVE w Svelte, przetłumaczonych i ocenionych.
- CVE-2026-42599Średnie
Svelte przed wersją 5.55.7 zawiera podatność polegającą na tym, że podczas renderowania atrybutów z niezaufanych danych przy użyciu składni spread, obsługi zdarzeń są dołączane do wyjściowego HTML. Jeśli aplikacja rozprzestrzenia dane kontrolowane przez użytkownika jako atrybuty elementów, atakujący może wstrzyknąć złośliwe procedury obsługi zdarzeń, które wykonują się w przeglądarkach ofiar. Podatność jest aktywowana tylko wtedy, gdy przeglądarka ofiary ma włączony JavaScript, a mechanizm hydratacji Svelte nie dotrze do podatnego elementu przed wyzwoleniem zdarzenia.
- CVE-2026-42573Średnie
Svelte przed wersją 5.55.7 jest podatny na DOM clobbering wewnętrznego stanu frameworka na elementach, co może prowadzić do ataków XSS.
- CVE-2026-42567Wysokie
Framework Svelte w wersjach od 5.51.5 do 5.55.6 zawiera podatność na atak ReDoS (Regular Expression Denial of Service) w elemencie <svelte:element this={tag}></svelte:element>. Wewnętrzne wyrażenie regularne może działać w czasie wykładniczym.