svelte is vulnerable to XSS with textarea bind:value

CAOGHSA-gw32-9rmw-qwww · Công bố 16/01/2026 · cập nhật 03/02/2026

Tóm tắt nhanh

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
svelte npm	`≥ 3.0.0, < 3.59.2`	`3.59.2`

A server-side rendered <textarea> with two-way bound value does not have its value correctly escaped in the rendered HTML.

In SSR, <textarea bind:value={...}> does not have its value escaped when it is rendered into the HTML as <textarea>...</textarea>.

Put this in a server-side-rendered Svelte component:

<script>
  let value = `test'"></textarea><script` + `>alert('BIM');</sc` + `ript>`;
</script>

<textarea bind:value />

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

npm

≥ 3.0.0, < 3.59.2

3.59.2

Mô tả

A server-side rendered <textarea> with two-way bound value does not have its value correctly escaped in the rendered HTML.

In SSR, <textarea bind:value={...}> does not have its value escaped when it is rendered into the HTML as <textarea>...</textarea>.

Put this in a server-side-rendered Svelte component:

<script>
  let value = `test'"></textarea><script` + `>alert('BIM');</sc` + `ript>`;
</script>

<textarea bind:value />

Lỗ hổng khác của svelte

Xem tất cả →