CVE-2026-92708 in devalue
الملخص
بحسب VulDB • 19/09/2026
Svelte devalue هو مكتبة جافا سكريبت تقوم بتسلسل القيم إلى سلاسل نصية عندما لا تكون دالة JSON.stringify كافية للقيام بالمهمة. في الإصدارات من 5.1.0 حتى 5.9.2، تعمل الدالتان stringify و uneval على تسلسل مصفوفة ذات نوع محدد (typed array) عن طريق إصدار كامل الـ ArrayBuffer الخلفي لها بدلاً من عرضها فقط؛ وبالتالي فإن تسلسل كائن Node Buffer، الذي يكون مخزنه الأساسي عبارة عن حصة مشتركة على مستوى العملية (process-wide shared pool)، يؤدي إلى كشف ما يصل إلى 64 كيلوبايت من ذاكرة العمليات غير ذات الصلة، بما في ذلك بايتات تابعة لطلبات أخرى قيد التنفيذ. وفي إطار عمل يعمل بالتصيير الجانبي للسيرفر مثل SvelteKit أو Nuxt، يمكن أن تؤدي صفحة عامة يكون دال التحميل load() فيها تعيد كائن Buffer صغيراً، أو تقرأ ملفاً صغيراً، إلى إرسال جسم طلب مستخدم آخر أو رأس Authorization في شيفرة HTML الخاصة بها دون الحاجة إلى مصادقة. ونظراً لأن هذا يحدث أثناء عملية التسلسل، فإنه ينشط مع كل عملية تصيير من هذا النوع ولا يتم التخفيف منه بواسطة حواجز التلوث البروتوتيبي (prototype-pollution) ورفض الخدمة (denial-of-service) المتعلقة بـ parse/unflatten، والتي تنطبق فقط عند تحليل مدخلات غير موثوقة. كحل مؤقت، يُنصح بتحويل كائنات Node Buffer إلى Uint8Array قبل التسلسل. وقد تم إصلاح هذه المشكلة في الإصدار 5.9.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.