CVE-2026-92708

Svelte devalue, JSON.stringify işleminin yetersiz kaldığı durumlarda değerleri dizilere serialize eden bir JavaScript kütüphanesidir. 5.1.0 ile 5.9.2 arasındaki sürümlerde, stringify ve uneval fonksiyonları tipize edilmiş bir diziyi sadece görünümü yerine tüm destekleyici ArrayBuffer yapısını yayarak serialize eder; bu nedenle, arka plan deposu işlem genelinde paylaşılan bir havuz olan bir Node Buffer'ın serialize edilmesi, diğer devam eden isteklerden gelen baytlar da dahil olmak üzere 64 KB'a kadar ilgisiz işlem belleğini ifşa eder. SvelteKit veya Nuxt gibi sunucu tarafında oluşturulan (server-side-rendered) bir çerçevede, load() fonksiyonu küçük bir Buffer döndüren veya küçük bir dosya okuyan herkese açık bir sayfa, kimlik doğrulaması olmaksızın başka bir kullanıcının istek gövdesini veya Authorization başlığını HTML içeriğinde gönderebilir. Bu durum serialization sırasında gerçekleştiği için her böyle bir oluşturma (render) işleminde tetiklenir ve yalnızca güvenilmeyen girdiler ayrıştırılırken uygulanan parse/unflatten prototip kirliliği (prototype pollution) ve hizmet reddi (DoS) korumaları tarafından engellenemez. Geçici bir çözüm olarak, Node Buffer nesneleri serialization öncesinde Uint8Array'e dönüştürülmelidir. Bu sorun 5.9.3 sürümünde düzeltilmiştir.