FICHE CVE

CVE-2026-30226

Publiée le 2026-03-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant la bibliothèque Svelte `devalue` (v5.6.3 et versions antérieures) pour la sérialisation des données sont affectées par une faille de pollution de prototype. Un attaquant non authentifié peut envoyer une charge utile spécialement conçue via le réseau pour provoquer le plantage de l'application ou un comportement imprévisible. Bien qu'aucune interaction de l'utilisateur ne soit requise, l'exploitation réussie de cette faille est difficile en raison de la complexité de la conception de la charge utile nécessaire.

CVSS 4.06.3 MOYENNE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-03-11

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Svelte devalue is a JavaScript library that serializes values into strings when JSON.stringify isn't sufficient for the job. In devalue v5.6.3 and earlier, devalue.parse and devalue.unflatten were susceptible to prototype pollution via maliciously crafted payloads. Successful exploitation could lead to Denial of Service (DoS) or type confusion. This vulnerability is fixed in 5.6.4.