p PatchFirst

CVE-2026-114061

CVE-2026-114061 · SvelteKit before 3.0.0 XSS via Cache-Control Header in Prerendered Pages

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

SvelteKit (@sveltejs/kit) before 3.0.0 contains a cross-site scripting vulnerability in prerendered pages because a cache-control header value set via setHeaders is inserted without escaping into a <meta http-equiv="cache-control"> tag. An attacker who can influence that untrusted value at prerender time can break out of the content attribute and inject HTML or JavaScript that executes when users visit the page.

CVSS 2.3 · Низкий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • kit

    Версии
    • ≥ 0, < 3.0.0: Затронуто (semver)
    • 3.0.0: Не затронуто (semver)

    Обновитесь до 3.0.0

  • @sveltejs/kit npm

    Затронутые диапазоны версий
    • SEMVER: < 3.0.0

    Обновитесь до 3.0.0

Первоисточники

Проверьте свой сервер →