Svelte: SSR XSS via Insecure Promise Serialization in hydratable

TRUNG BÌNHGHSA-f3cj-j4f6-wq85 · Công bố 14/05/2026 · cập nhật 14/05/2026

Tóm tắt nhanh

GHSA-f3cj-j4f6-wq85 là lỗ hổng mức TRUNG BÌNH ảnh hưởng svelte.
Cách xử lý: cập nhật lên 5.55.7 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
svelte npm	`≥ 5.46.0, < 5.55.7`	`5.55.7`

Mô tả

Contents of hydratable promises were not properly stringified, potentially leading to an XSS exploit. You are vulnerable if all of the following is true:

you are using hydratable (an experimental feature at the time of this report)
you are passing attacker-controlled input such that a synchronous value is hydrated, then a promise value, e.g. hydratable('someKey', () => [synchronousValue, promiseValue])

Tham khảo

sveltejs/svelte security advisory · WEB
sveltejs/svelte commit a16ebc6 · WEB
sveltejs/svelte · PACKAGE
sveltejs/svelte release [email protected] · WEB

Lỗ hổng khác của svelte

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

svelte

npm

≥ 5.46.0, < 5.55.7

5.55.7

Mô tả

Contents of hydratable promises were not properly stringified, potentially leading to an XSS exploit. You are vulnerable if all of the following is true:

you are using hydratable (an experimental feature at the time of this report)
you are passing attacker-controlled input such that a synchronous value is hydrated, then a promise value, e.g. hydratable('someKey', () => [synchronousValue, promiseValue])

Lỗ hổng khác của svelte

Xem tất cả →