CVE-2026-114061
CVE-2026-114061 · SvelteKit before 3.0.0 XSS via Cache-Control Header in Prerendered Pages
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
SvelteKit (@sveltejs/kit) before 3.0.0 contains a cross-site scripting vulnerability in prerendered pages because a cache-control header value set via setHeaders is inserted without escaping into a <meta http-equiv="cache-control"> tag. An attacker who can influence that untrusted value at prerender time can break out of the content attribute and inject HTML or JavaScript that executes when users visit the page.
CVSS 2.3 · Faible · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
kit
- Versions du logiciel
- ≥ 0, < 3.0.0: Concernée (semver)
- 3.0.0: Non concernée (semver)
Mettez à jour vers 3.0.0
@sveltejs/kit npm
- Plages de versions concernées
- SEMVER: < 3.0.0
Mettez à jour vers 3.0.0