Veille sécuritéFrontend
P4Faible
SvelteKit présente une XSS dans les pages pré-rendues lorsque une valeur `cache-control` définie via `setHeaders` est insérée sans échappement dans une balise meta. Le défaut concerne les versions antérieures à 3.0.0 et nécessite qu’un acteur puisse influencer cette valeur au moment du pré-rendu.
JavaScript
IdentifiantCVE-2026-114061
GravitéFaible
Exploitationnon connue / non déterminée
Correctif3.0.0
Source : NVD — CVE-2026-114061
Analyse technique
La valeur non fiable peut rompre le contexte d’attribut de la balise meta de cache-control et injecter du HTML ou du JavaScript.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-21 à 01:17:29 UTC, soit 03:17:29 +02:00. L’avis GitHub du projet correspondant est toutefois daté du 2026-10-05; l’événement retenu dans la période est donc la publication de la fiche CVE/NVD, et non une divulgation initiale.
ImpactUn visiteur peut exécuter du JavaScript dans le contexte d’une page pré-rendue si la valeur injectée est contrôlable.
Versions affectéesVersions antérieures à 3.0.0
Version corrigée3.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
EPSS0,17% · percentile 6,5%
Publication2026-10-21T03:17:29+02:00
Mise à jour2026-10-21T03:17:29+02:00
Action recommandée
Mettre à niveau vers SvelteKit 3.0.0 ou une version corrigée; ne pas incorporer de valeurs non fiables dans les en-têtes utilisés au pré-rendu.
Sources
Priorisation DFS : P4 · 1 source(s).