Уязвимости SvelteSvelte: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-425992026-06-09

  Cross-site scripting via spread attributes in Svelte SSR

  Затронутые версии: < 5.55.7

  средняя 5.1

  Исправлено в: 5.55.7

• CVE-2026-425732026-06-09

  Svelte: XSS via DOM Clobbering of Internal Framework State

  Затронутые версии: < 5.55.7

  средняя 5.3

  Исправлено в: 5.55.7

• CVE-2026-425672026-06-09

  Svelte: ReDoS in `<svelte:element>` Tag Validation

  Затронутые версии: >= 5.51.5, < 5.55.7

  средняя 5.9

  Исправлено в: 5.55.7

• GHSA-f3cj-j4f6-wq852026-05-14

  Svelte: SSR XSS via Insecure Promise Serialization in hydratable

  Затронутые версии: >= 5.46.0, < 5.55.7

  средняя

  Исправлено в: 5.55.7

• CVE-2026-279022026-02-25

  Svelte Vulnerable to XSS via HTML Comment Injection in SSR Error Boundary Hydration Markers

  Затронутые версии: >= 5.53.0, < 5.53.5

  средняя 5.3

  Исправлено в: 5.53.5

• CVE-2026-279012026-02-25

  Svelte vulnerable to XSS during SSR with contenteditable `bind:innerText` and `bind:textContent`

  Затронутые версии: < 5.53.5

  средняя 5.3

  Исправлено в: 5.53.5

• CVE-2026-271252026-02-20

  Svelte SSR attribute spreading includes inherited properties from prototype chain

  Затронутые версии: < 5.51.5

  средняя 5.3

  Исправлено в: 5.51.5

• CVE-2026-271222026-02-20

  Svelte SSR does not validate dynamic element tag names in `<svelte:element>`

  Затронутые версии: < 5.51.5

  средняя 5.1

  Исправлено в: 5.51.5

• CVE-2026-271212026-02-20

  Svelte affected by cross-site scripting via spread attributes in Svelte SSR

  Затронутые версии: < 5.51.5

  средняя 5.1

  Исправлено в: 5.51.5

• CVE-2026-271192026-02-20

  Svelte affected by XSS in SSR `<option>` element

  Затронутые версии: >= 5.39.3, < 5.51.5

  средняя 5.1

  Исправлено в: 5.51.5

• GHSA-gw32-9rmw-qwww2026-01-16

  svelte is vulnerable to XSS with textarea bind:value

  Затронутые версии: >= 3.0.0, < 3.59.2

  высокая

  Исправлено в: 3.59.2

• CVE-2025-152652026-01-15

  Svelte 5.46.0 - Hydratable Key Script-Breakout XSS (SSR)

  Затронутые версии: >= 5.46.0, < 5.46.4

  средняя 5.3

  Исправлено в: 5.46.4

• CVE-2024-450472024-08-30

  Potential mXSS vulnerability due to improper HTML escaping in svelte

  Затронутые версии: < 4.2.19

  средняя 6.1

  Исправлено в: 4.2.19

• CVE-2022-258752022-07-12

  Cross-site Scripting (XSS)

  Затронутые версии: < 3.49.0

  средняя 6.1

  Исправлено в: 3.49.0

  EPSS 1,4%

• без CVE

  XSS

  Затронутые версии: < 3.46.5

  средняя

  Исправлено в: 3.46.5

• без CVE

  XSS

  Затронутые версии: < 2.9.8

  средняя

  Исправлено в: 2.9.8