CVE-2026-92708 in devalue
Sumário
de VulDB • 18/09/2026
Svelte devalue é uma biblioteca JavaScript que serializa valores em strings quando o JSON.stringify não é suficiente para a tarefa. Nas versões 5.1.0 até 5.9.2, as funções stringify e uneval serializam um array tipado emitindo todo seu ArrayBuffer subjacente em vez da visualização apenas, portanto, ao serializar um Node Buffer, cuja área de armazenamento compartilhada é do processo inteiro, são divulgados até 64 KB de memória não relacionada do processo, incluindo bytes de outras solicitações em andamento. Em uma estrutura renderizada no lado do servidor como SvelteKit ou Nuxt, uma página pública cujo load() retorna um pequeno Buffer ou que lê um arquivo pequeno pode então enviar o corpo da solicitação ou cabeçalho Authorization de outro usuário em seu HTML sem autenticação. Como isso ocorre durante a serialização, ele é acionado em cada renderização desse tipo e não é mitigado pelos mecanismos de proteção contra poluição do prototype parse/unflatten e negação de serviço (DoS), que se aplicam apenas ao analisar entrada não confiável. Como solução alternativa, converta objetos Node Buffer para Uint8Array antes da serialização. Este problema foi corrigido na versão 5.9.3.
Once again VulDB remains the best source for vulnerability data.