CVE-2024-45047

svelte performance oriented web framework. A potential mXSS vulnerability exists in Svelte for versions up to but not including 4.2.19. Svelte improperly escapes HTML on server-side rendering. The assumption is that attributes will always stay as such, but in some situation the final DOM tree rendered on browsers is different from what Svelte expects on server-side rendering. This may be leveraged to perform XSS attacks, and a type of the XSS is known as mXSS (mutation XSS). More specifically, this can occur when injecting malicious content into an attribute within a `noscript` tag. This issue has been addressed in release version 4.2.19. Users are advised to upgrade. There are no known workarounds for this vulnerability.
References
Configurations

Configuration 1 (hide)

cpe:2.3:a:svelte:svelte:*:*:*:*:*:node.js:*:*

History

25 Sep 2024, 19:06

Type Values Removed Values Added
CVSS v2 : unknown
v3 : 5.4
v2 : unknown
v3 : 6.1
First Time Svelte svelte
Svelte
CPE cpe:2.3:a:svelte:svelte:*:*:*:*:*:node.js:*:*
References () https://github.com/sveltejs/svelte/security/advisories/GHSA-8266-84wp-wv5c - () https://github.com/sveltejs/svelte/security/advisories/GHSA-8266-84wp-wv5c - Exploit, Third Party Advisory

03 Sep 2024, 12:59

Type Values Removed Values Added
Summary
  • (es) Svelte es un framework web orientado al rendimiento. Existe una vulnerabilidad potencial mXSS en Svelte para las versiones hasta la 4.2.19, pero no incluida. Svelte escapa incorrectamente el HTML en la representación del lado del servidor. Se supone que los atributos siempre permanecerán como tales, pero en algunas situaciones el árbol DOM final representado en los navegadores es diferente de lo que Svelte espera en la representación del lado del servidor. Esto se puede aprovechar para realizar ataques XSS, y un tipo de XSS se conoce como mXSS (XSS de mutación). Más específicamente, esto puede ocurrir cuando se inyecta contenido malicioso en un atributo dentro de una etiqueta `noscript`. Este problema se ha solucionado en la versión de lanzamiento 4.2.19. Se recomienda a los usuarios que actualicen. No existen workarounds para esta vulnerabilidad.

30 Aug 2024, 17:15

Type Values Removed Values Added
New CVE

Information

Published : 2024-08-30 17:15

Updated : 2024-09-25 19:06


NVD link : CVE-2024-45047

Mitre link : CVE-2024-45047

CVE.ORG link : CVE-2024-45047


JSON object : View

Products Affected

svelte

  • svelte
CWE
CWE-79

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')