CVE-2026-82258

4.8 Moyenne

Publiée le 28/08/2026 à 14:16 · Modifiée le 08/10/2026 à 18:17 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

SvelteKit versions from 2.38.0 before 2.60.1 contain a race condition in query.batch that allows concurrent requests from different users to merge under a single request context. Attackers can exploit specific timing conditions to access sensitive data from other users' concurrent requests.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	5.9 Moyenne	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:P/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	4.8 Moyenne	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:N/A:N`

Faiblesses (CWE)

CWE-362

Références

https://github.com/sveltejs/kit/security/advisories/GHSA-hgv7-v322-mmgr Vendor Advisory
https://www.vulncheck.com/advisories/sveltekit-2.38.0-before-2.60.1-cross-user-data-disclosure-via-query-batch Third Party Advisory

CVE-2026-82258

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs