CVE-2026-114063

SvelteKit w wersjach od 2.49.0 do 2.49.4 zawiera podatność w eksperymentalnej funkcji form remote, która używa binarnego formatu danych do reprezentacji przesłanych danych formularza. Specjalnie spreparowany payload może spowodować alokację dużej ilości pamięci na serwerze, prowadząc do DoS przez wyczerpanie pamięci. Podatność została naprawiona w wersji 2.49.5.

SvelteKit przed wersją 2.49.5 jest podatny na ataki SSRF (Server-Side Request Forgery) i DoS (Denial of Service) w określonych warunkach. Od wersji 2.44.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma co najmniej jedną prerenderowaną trasę. Od 2.19.0 do 2.49.4 podatność powoduje DoS, gdy aplikacja ma prerenderowaną trasę, używa adapter-node bez skonfigurowanej zmiennej ORIGIN i nie używa odwrotnego proxy z walidacją nagłówka Host. Podatność naprawiona w 2.49.5.

SvelteKit w wersjach przed 3.0.0 zawiera podatność typu server-side request forgery (SSRF), ponieważ mechanizm self-fetch fallback automatycznie podąża za przekierowaniami HTTP. Atakujący może manipulować nagłówkami Host lub forwarded, aby skierować żądania fallback do własnego serwera, który następnie przekierowuje je do usług wewnętrznych.

SvelteKit (@sveltejs/kit) w wersjach przed 3.0.0 zawiera podatność cross-site scripting (XSS) w prerenderowanych stronach, ponieważ wartość nagłówka cache-control ustawiona przez setHeaders jest wstawiana bez escapowania do tagu <meta http-equiv="cache-control">. Atakujący, który może wpłynąć na tę niezaufaną wartość w czasie prerenderowania, może wyłamać się z atrybutu content i wstrzyknąć HTML lub JavaScript, który wykona się u użytkowników odwiedzających stronę.

SvelteKit (@sveltejs/kit) w wersjach przed 3.0.0 zawiera podatność open redirect w ulepszonych akcjach formularzy (use:enhance) na trasach akceptujących ścieżki rozpoczynające się od podwójnego ukośnika. Atakujący może tworzyć ścieżki akcji zaczynające się od //, które stają się adresami URL względnymi protokołu, powodując przekierowanie ofiar do witryn kontrolowanych przez atakującego.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie CPU podczas deserializacji formularzy. Atakujący może wysłać złośliwe dane formularza, powodując brak reakcji serwera podczas przetwarzania żądania, co prowadzi do odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.52.1 z włączonymi eksperymentalnymi funkcjami zdalnymi i formularzami zawiera podatność na wyczerpanie pamięci podczas zdalnej deserializacji formularzy. Złośliwe dane formularza mogą powodować nadmierną alokację pamięci, co prowadzi do awarii procesu serwera i odmowy usługi. Problem naprawiono w wersji 2.52.2.

SvelteKit w wersjach od 2.49.0 do 2.53.2 (naprawione w 2.53.3) zawiera problem z ekspansją deserializacji w eksperymentalnej funkcji zdalnej formularza. Gdy aplikacja włącza experimental.remoteFunctions i używa funkcji form do przetwarzania tablicy plików bez walidacji files.length lub rozmiarów poszczególnych plików, atakujący może przesłać stosunkowo małe dane, które rozwijają się w bardzo duże tablice plików, prowadząc do kosztownego przetwarzania i odmowy usługi.

SvelteKit w wersjach od 2.38.0 do 2.60.1 zawiera wyścig w query.batch, który pozwala na połączenie równoczesnych żądań od różnych użytkowników w jeden kontekst żądania. Atakujący mogą wykorzystać specyficzne warunki czasowe, aby uzyskać dostęp do wrażliwych danych z równoczesnych żądań innych użytkowników.

SvelteKit przed wersją 2.69.1 zawiera podatność na zanieczyszczenie prototypu w zdalnych funkcjach formularzy z polami plików, które akceptują dowolne nazwy ścieżek kontrolowane przez użytkownika. Atakujący mogą manipulować ścieżką usuwania, aby usunąć metody z prototypu, potencjalnie wyłączając funkcjonalność aplikacji.