CVE-2026-92708 in devalue
Resumen
por VulDB • 2026-09-18
Svelte devalue es una biblioteca JavaScript que serializa valores en cadenas cuando JSON.stringify no es suficiente para la tarea. En las versiones 5.1.0 a través de 5.9.2, las funciones stringify y uneval serializan un array tipado emitiendo su ArrayBuffer subyacente completo en lugar de solo la vista; por lo tanto, al serializar un Node Buffer, cuyo almacén subyacente es un pool compartido a nivel del proceso, se revelan hasta 64 KB de memoria no relacionada del proceso, incluidos bytes de otras solicitudes en curso. En un framework con renderizado del lado del servidor como SvelteKit o Nuxt, una página pública cuya función load() devuelve un Buffer pequeño, o que lee un archivo pequeño, puede por lo tanto enviar el cuerpo de la solicitud u el encabezado Authorization de otro usuario en su HTML sin autenticación. Dado que esto ocurre durante la serialización, se activa en cada renderizado y no está mitigado por las protecciones contra contaminación del prototipo (prototype pollution) y denegación de servicio mediante parse/unflatten, ya que estas solo se aplican al analizar entrada no confiable. Como solución alternativa, convierta los objetos Node Buffer a Uint8Array antes de la serialización. Este problema ha sido corregido en la versión 5.9.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.