Veille sécuritéFrontend
P4Faible
SvelteKit présente une redirection ouverte dans les actions de formulaire améliorées (`use:enhance`) lorsque des routes acceptent des chemins commençant par `//`. Un résultat de formulaire sans redirection peut alors conduire l’utilisateur vers un site non fiable.
Svelte
IdentifiantCVE-2026-114060
GravitéFaible
Exploitationnon connue / non déterminée
Correctif@sveltejs/kit 3.0.0
Analyse technique
Les chemins d’action commençant par `//` peuvent être interprétés comme des URL relatives au protocole lors de la navigation déclenchée par un résultat de formulaire amélioré.
Impact, versions et correctif
Événement datéL’avis GitHub est daté du 2026-10-23T20:58:24Z, soit le 2026-10-23T22:58:24+02:00, dans la période demandée. La publication de l’avis, et non une modification administrative NVD, est l’événement retenu.
ImpactUn utilisateur peut être redirigé vers un site contrôlé par un tiers.
Versions affectées@sveltejs/kit < 3.0.0
Version corrigée@sveltejs/kit 3.0.0
ContournementAvant la résolution des routes, rejeter les requêtes dont le chemin analysé commence par `//`, par exemple dans un proxy inverse ou un hook `handle`. Autre contournement : désactiver la navigation pour les résultats de formulaire améliorés sans redirection.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7 · CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
EPSS0,17% · percentile 5,4%
Publication2026-10-23T22:58:24+02:00
Mise à jour2026-10-23T22:58:25+02:00
Action recommandée
Mettre à niveau @sveltejs/kit vers la version 3.0.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).