CVE-2026-92708 in devalue
Zusammenfassung
von VulDB • 18.09.2026
Svelte devalue ist eine JavaScript-Bibliothek, die Werte in Strings serialisiert, wenn JSON.stringify für den Zweck nicht ausreicht. In den Versionen 5.1.0 bis 5.9.2 serialisieren die Funktionen stringify und uneval ein typisiertes Array, indem sie dessen gesamten zugrunde liegenden ArrayBuffer anstelle nur der Ansicht emittieren. Dadurch wird beim Serialisieren eines Node Buffer, dessen Backing Store ein prozessweites gemeinsam genutztes Pool ist, bis zu 64 KB nicht zusammenhängender Prozessspeicher offengelegt, einschließlich Bytes aus anderen laufenden Anfragen. In einem serverseitig gerenderten Framework wie SvelteKit oder Nuxt kann daher eine öffentliche Seite, deren load()-Methode einen kleinen Buffer zurückgibt oder eine kleine Datei liest, den Anfragetext (Request Body) oder den Authorization-Header eines anderen Benutzers in ihrem HTML ausliefern, ohne dass eine Authentifizierung erforderlich ist. Da dies während der Serialisierung auftritt, wird es bei jeder solchen Renderung ausgelöst und wird nicht durch die Schutzmechanismen gegen Prototype-Pollution und Denial-of-Service (DoS) beim Parsen/Unflattening gemildert, die nur beim Parsen von nicht vertrauenswürdigen Eingaben gelten. Als Workaround sollten Node Buffer-Objekte vor der Serialisierung in Uint8Array konvertiert werden. Dieses Problem wurde in Version 5.9.3 behoben.
Once again VulDB remains the best source for vulnerability data.