8.7
Élevée
CVE-2026-123565 Devalue before 5.9.3 Quadratic Expansion Denial of Service via uneval
Description
Sveltejs devalue before 5.9.3 contains a resource exhaustion vulnerability where repeated primitive strings cause quadratic expansion in the uneval function. Attackers can supply a small crafted payload that is parsed and then passed to uneval, producing a very large serialized string that exhausts memory or CPU.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:NExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Aucun
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Confidentialité
- Aucun
- Intégrité
- Aucun
- Disponibilité
- Élevé
- Confidentialité des autres systèmes
- Aucun
- Intégrité des autres systèmes
- Aucun
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| devalue 5.9 | premières → < 5.9.3 | 5.9.3 |
Autres CVE de devalue
Les 16 CVE de devalue →
CVE-2026-123569
Devalue before 5.6.3 Denial of Service via Sparse Array Serialization
8.7
Élevée
CVE-2026-123568
Sveltejs devalue before 5.6.3 Prototype Pollution via uneval Output
2.1
Faible
CVE-2026-123566
Devalue before 5.9.3 CPU Amplification Denial of Service via uneval
8.7
Élevée
CVE-2026-123567
Sveltejs devalue before 5.6.4 Prototype Injection via parse and unflatten
6.3
Moyenne