8.7
Élevée
CVE-2026-123564 Sveltejs devalue before 5.9.3 Memory Exhaustion via uneval Sparse Arrays
Description
Sveltejs devalue from 1.0.0 before 5.9.3 contains a memory exhaustion flaw in uneval, whose generated code for sparse arrays allocates memory proportional to the array's declared length when evaluated. Attackers who can influence a very large sparse array serialized by an application can exhaust memory in the browser or runtime evaluating the output.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:NExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Aucun
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Confidentialité
- Aucun
- Intégrité
- Aucun
- Disponibilité
- Élevé
- Confidentialité des autres systèmes
- Aucun
- Intégrité des autres systèmes
- Aucun
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
Autres CVE de devalue
Les 16 CVE de devalue →
CVE-2026-123569
Devalue before 5.6.3 Denial of Service via Sparse Array Serialization
8.7
Élevée
CVE-2026-123568
Sveltejs devalue before 5.6.3 Prototype Pollution via uneval Output
2.1
Faible
CVE-2026-123566
Devalue before 5.9.3 CPU Amplification Denial of Service via uneval
8.7
Élevée
CVE-2026-123567
Sveltejs devalue before 5.6.4 Prototype Injection via parse and unflatten
6.3
Moyenne