- Yama var
- Son 7 gün
- CWE-79
CVE-2026-114061
SvelteKit'te önceden oluşturulmuş sayfalarda Cache-Control başlığı üzerinden siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
SvelteKit (@sveltejs/kit) 3.0.0 öncesi sürümlerde, setHeaders ile ayarlanan bir cache-control başlık değeri kaçış karakterleri uygulanmadan <meta http-equiv="cache-control"> etiketine eklendiği için önceden oluşturulmuş sayfalarda siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Önceden oluşturma (prerender) sırasında bu güvenilmeyen değeri etkileyebilen bir saldırgan, içerik özniteliğinden çıkıp, kullanıcılar sayfayı ziyaret ettiğinde çalışan HTML veya JavaScript enjekte edebilir.
Kaynaktaki açıklama (İngilizce)
SvelteKit (@sveltejs/kit) before 3.0.0 contains a cross-site scripting vulnerability in prerendered pages because a cache-control header value set via setHeaders is inserted without escaping into a <meta http-equiv="cache-control"> tag. An attacker who can influence that untrusted value at prerender time can break out of the content attribute and inject HTML or JavaScript that executes when users visit the page.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| sveltejs kit | < 3.0.0 | 3.0.0 |
| 3.0.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.