PT-2026-3102 · Svelte · Svelte

Camilo Vera · Publicado 2026-01-15 · Atualizado 2026-01-15 · CVE-2025-15265

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Svelte 5.46.0 a 5.46.2

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) devido ao escape inadequado das chaves hydratable. Quando essas chaves incluem entrada de usuário não confiável, JavaScript arbitrário pode ser injetado no HTML renderizado no servidor. Isso permite a execução remota de scripts nos navegadores dos usuários, podendo levar ao roubo de sessão e comprometimento de conta. A função hydratable usa uma chave para identificar dados exclusivamente, e essa chave é incorporada em um bloco <script> sem o escape adequado. Uma chave maliciosa pode encerrar o script e injetar JavaScript arbitrário na resposta HTML.

Recomendações Atualize para uma versão corrigida do Svelte.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-15265

GHSA-6738-R8G5-QWP3

Produtos afetados

Svelte

Referências · 9

• 🔥 https://fluidattacks.com/advisories/lydian · Exploit
• https://github.com/sveltejs/svelte · Nota
• https://github.com/sveltejs/svelte/commit/ef81048e238844b729942441541d6dcfe6c8ccca · Nota
• https://github.com/sveltejs/svelte/releases/tag/svelte%405.46.4 · Nota
• https://github.com/sveltejs/svelte/security/advisories/GHSA-6738-r8g5-qwp3 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2011926057956622830 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-15265 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-15265 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6738-r8g5-qwp3 · Aviso do Fabricante