CVE-2026-92708

Svelte devalue, JSON.stringify kifayət etmədikdə dəyərləri sətirlərə çevirən bir JavaScript kitabxanasıdır. 5.1.0 və 5.9.2 versiyaları arasında stringify və uneval funksiyaları tipləşdirilmiş massivi yalnız görünüşü (view) yox, onun bütün alt ArrayBuffer-ini ötürərək seriyallaşdırır. Beləliklə, alt anbarı proses səviyyəsində paylaşılmış hovuz olan Node Buffer-in seriyallaşdırılması, digər davam edən sorğulardan gələn baytlar da daxil olmaqla, əlaqəli olmayan 64 KB-a qədər proses yaddaşını ifşa edir. SvelteKit və ya Nuxt kimi server tərəfində render edilən freymvorklarda, load() funksiyası kiçik bir Buffer qaytaran və ya kiçik fayl oxuyan ictimai səhifə, autentifikasiya olmadan başqa istifadəçinin sorğu gövdəsini və ya Authorization başlığını öz HTML-ində göndərə bilər. Bu hadisə seriyallaşdırma zamanı baş verdiyi üçün hər belə render zamanı təkrarlanır və yalnız etibarsız girişlərin analiz edilməsi zamanı tətbiq olunan parse/unflatten prototip çirklənməsi (prototype pollution) və xidmətdən imtina (DoS) mühafizə vasitələri ilə aradan qaldırılmır. Müvəqqəti həll yolu kimi, seriyallaşdırmadan əvvəl Node Buffer obyektlərini Uint8Array formatına çevirin. Bu problem 5.9.3 versiyasında düzəldilib.