svelte is vulnerable to XSS with textarea bind:value

高GHSA-gw32-9rmw-qwww · 16/01/2026 公開 · 03/02/2026 更新

要点

パッケージ	影響を受けるバージョン	修正済みバージョン
svelte npm	`≥ 3.0.0, < 3.59.2`	`3.59.2`

A server-side rendered <textarea> with two-way bound value does not have its value correctly escaped in the rendered HTML.

In SSR, <textarea bind:value={...}> does not have its value escaped when it is rendered into the HTML as <textarea>...</textarea>.

Put this in a server-side-rendered Svelte component:

<script>
  let value = `test'"></textarea><script` + `>alert('BIM');</sc` + `ript>`;
</script>

<textarea bind:value />

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

パッケージ

影響を受けるバージョン

修正済みバージョン

npm

≥ 3.0.0, < 3.59.2

3.59.2

概要

A server-side rendered <textarea> with two-way bound value does not have its value correctly escaped in the rendered HTML.

In SSR, <textarea bind:value={...}> does not have its value escaped when it is rendered into the HTML as <textarea>...</textarea>.

Put this in a server-side-rendered Svelte component:

<script>
  let value = `test'"></textarea><script` + `>alert('BIM');</sc` + `ript>`;
</script>

<textarea bind:value />

svelte のその他の脆弱性

すべて見る →