Veille CVE

‹ Retour à la liste

CVE-2026-114061

4.7 Moyenne

Publiée le 21/10/2026 à 03:17 · Modifiée le 21/10/2026 à 03:17 · Reçue · Source : disclosure@vulncheck.com

Description

SvelteKit (@sveltejs/kit) before 3.0.0 contains a cross-site scripting vulnerability in prerendered pages because a cache-control header value set via setHeaders is inserted without escaping into a <meta http-equiv="cache-control"> tag. An attacker who can influence that untrusted value at prerender time can break out of the content attribute and inject HTML or JavaScript that executes when users visit the page.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 2.3 Faible disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 4.7 Moyenne disclosure@vulncheck.com (NVD) CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Faiblesses (CWE)

Références

Ailleurs