PT-2026-20881 · Svelte · Svelte

Elliott-With-The-Longest-Name-On-Github · Publicado 2026-02-19 · Atualizado 2026-02-20 · CVE-2026-27122

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Svelte anteriores à 5.51.5

Descrição Existe uma falha no Svelte na qual, durante a renderização no lado do servidor, o nome da tag fornecido ao componente <svelte:element this={tag}> não é validado ou sanitizado antes de ser incluído na saída HTML. Isso pode resultar em injeção de HTML se a string tag contiver caracteres maliciosos. A renderização no lado do cliente não é impactada por este problema. O componente vulnerável é <svelte:element this={tag}>. A variável vulnerável é tag.

Recomendações Atualize para a versão 5.51.5 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-27122

GHSA-M56Q-VW4C-C2CP

Produtos afetados

Svelte

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27122.json · Exploit
• https://github.com/sveltejs/svelte · Nota
• https://github.com/sveltejs/svelte/security/advisories/GHSA-m56q-vw4c-c2cp · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-m56q-vw4c-c2cp · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-27122 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2024988713919598840 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27122 · Nota de Segurança