CVE-2025-15265 in svelte
要約
〜によって VulDB • 2026年06月26日
攻撃者が制御可能なキーを hydratable に渡す際に、非同期ハイドレーションにおいて SSR XSS が存在します。このキーは HTML エスケープ処理なしで <script> ブロック内に埋め込まれるため、</script> によってスクリプトが終了し、任意の JavaScript を注入することができます。これにより、ユーザーのブラウザ上でリモート スクリプトの実行が可能となり、セッション盗難やアカウント乗っ取りにつながる可能性があります。 この問題は Svelte に影響します：5.46.0 から 5.46.3 より前のバージョンにおいて。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.