2.1
Faible
CVE-2026-123568 Sveltejs devalue before 5.6.3 Prototype Pollution via uneval Output
Description
Sveltejs devalue before 5.6.3 contains a prototype pollution vulnerability that allows attackers to alter object prototypes by supplying untrusted data to uneval. When the generated code is later evaluated, it creates objects with polluted prototypes, producing output data whose shape differs from the original input.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:H/AT:P/PR:H/UI:N/VC:L/VI:L/VA:N/SC:L/SI:L/SA:NExploitable à distance par le réseau, avec un compte administrateur et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Élevée
- Prérequis d’attaque
- Présents
- Privilèges requis
- Élevés
- Interaction
- Aucune
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Aucun
- Confidentialité des autres systèmes
- Faible
- Intégrité des autres systèmes
- Faible
- Disponibilité des autres systèmes
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| devalue 5.6 | premières → < 5.6.3 | 5.6.3 |
Autres CVE de devalue
Les 16 CVE de devalue →
CVE-2026-123569
Devalue before 5.6.3 Denial of Service via Sparse Array Serialization
8.7
Élevée
CVE-2026-123566
Devalue before 5.9.3 CPU Amplification Denial of Service via uneval
8.7
Élevée
CVE-2026-123567
Sveltejs devalue before 5.6.4 Prototype Injection via parse and unflatten
6.3
Moyenne
CVE-2026-123565
Devalue before 5.9.3 Quadratic Expansion Denial of Service via uneval
8.7
Élevée