p PatchFirst

CVE-2026-27901

CVE-2026-27901 · Svelte vulnerable to XSS during SSR with contenteditable `bind:innerText` and `bind:textContent`

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Svelte performance oriented web framework. Prior to version 5.53.5, the contents of `bind:innerText` and `bind:textContent` on `contenteditable` elements were not properly escaped. This could enable HTML injection and Cross-Site Scripting (XSS) if rendering untrusted data as the binding's initial value on the server. Version 5.53.5 fixes the issue.

CVSS 5.3 · Moyenne · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • svelte

    Versions du logiciel
    • < 5.53.5: Concernée

    Aucun correctif publié

  • svelte npm

    Plages de versions concernées
    • SEMVER: < 5.53.5

    Mettez à jour vers 5.53.5

Sources originales

Vérifiez votre serveur →