Podatności Svelte devalue

Svelte devalue to biblioteka JavaScript serializująca wartości do ciągów znaków, gdy JSON.stringify jest niewystarczające. W wersjach przed 5.9.2 funkcja devalue.parse nie odrzuca indeksów poza zakresem (większych lub równych values.length) w src/parse.js. Specjalnie spreparowany niezaufany ładunek może powodować przełączanie parsera między reprezentacjami tablic, generując kwadratowe obciążenie i powodując odmowę usługi w aplikacjach przetwarzających niezaufane dane devalue.

Svelte devalue to biblioteka JavaScript, która serializuje wartości do stringów, gdy JSON.stringify nie wystarcza. W wersjach od 5.1.0 do 5.9.2 funkcje stringify i uneval serializują tablicę typowaną, emitując cały jej bazowy ArrayBuffer zamiast tylko widoku, więc serializacja bufora Node (Buffer), którego magazyn jest współdzieloną pulą procesową, ujawnia do 64 KB niezwiązanej pamięci procesu, w tym bajty z innych żądań w locie. W frameworku renderującym po stronie serwera, takim jak SvelteKit lub Nuxt, publiczna strona, której load() zwraca mały Buffer lub czyta mały plik, może wysłać w swoim HTML treść żądania lub nagłówek Authorization innego użytkownika bez uwierzytelnienia. Ponieważ dzieje się to podczas serializacji, ma to miejsce przy każdym takim renderowaniu i nie jest łagodzone przez zabezpieczenia parse/unflatten przed zanieczyszczeniem prototypu i DoS, które dotyczą tylko parsowania niezaufanych danych. Obejściem jest konwersja obiektów Node Buffer na Uint8Array przed serializacją. Problem naprawiono w wersji 5.9.3.

Biblioteka JavaScript Svelte devalue w wersjach od 5.6.3 do 5.8.0 jest podatna na nadmierne zużycie pamięci podczas deserializacji rzadkich tablic. Atakujący może wykorzystać specyfikę silników JavaScript, aby zmusić devalue.parse do alokacji znacznie więcej pamięci niż potrzebne.

Biblioteka Svelte devalue w wersjach od 5.1.0 do 5.6.1 zawiera podatność na atak DoS (odmowa usługi) poprzez nadmierne zużycie CPU i pamięci podczas parsowania specjalnie spreparowanych danych wejściowych. Problem wynika z braku walidacji danych przed dekodowaniem base64 w procesie hydratacji ArrayBuffer.

Biblioteka Svelte devalue w wersjach od 5.3.0 do 5.6.1 zawiera podatność na atak DoS. Nieprawidłowe dane wejściowe mogą spowodować nadmierne zużycie CPU i pamięci podczas parsowania przez devalue.parse, co dotyczy systemów przetwarzających dane z niezaufanych źródeł.