Svelte: SSR XSS via Insecure Promise Serialization in hydratable

中GHSA-f3cj-j4f6-wq85 · 14/05/2026 公開 · 14/05/2026 更新

要点

GHSA-f3cj-j4f6-wq85 は svelte に影響する深刻度「中」の脆弱性です。
対処：5.55.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
svelte npm	`≥ 5.46.0, < 5.55.7`	`5.55.7`

概要

Contents of hydratable promises were not properly stringified, potentially leading to an XSS exploit. You are vulnerable if all of the following is true:

you are using hydratable (an experimental feature at the time of this report)
you are passing attacker-controlled input such that a synchronous value is hydrated, then a promise value, e.g. hydratable('someKey', () => [synchronousValue, promiseValue])

参考情報

sveltejs/svelte security advisory · WEB
sveltejs/svelte commit a16ebc6 · WEB
sveltejs/svelte · PACKAGE
sveltejs/svelte release [email protected] · WEB

svelte のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

svelte

npm

≥ 5.46.0, < 5.55.7

5.55.7

概要

Contents of hydratable promises were not properly stringified, potentially leading to an XSS exploit. You are vulnerable if all of the following is true:

you are using hydratable (an experimental feature at the time of this report)
you are passing attacker-controlled input such that a synchronous value is hydrated, then a promise value, e.g. hydratable('someKey', () => [synchronousValue, promiseValue])

svelte のその他の脆弱性

すべて見る →