Vulnerabilidad en SvelteKit (CVE-2024-53261)

Gravedad CVSS v4.0:

BAJA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

25/11/2024

Última modificación:

28/08/2025

Descripción

SvelteKit es un framework de trabajo para desarrollar rápidamente aplicaciones web robustas y de alto rendimiento utilizando Svelte. "La entrada no higienizada de *la URL de solicitud* fluye hacia `end`, donde se utiliza para mostrar una página HTML que se devuelve al usuario. Esto puede resultar en un ataque de cross-site scripting (XSS)". Los archivos `packages/kit/src/exports/vite/dev/index.js` y `packages/kit/src/exports/vite/utils.js` contienen datos controlables por el usuario que, en condiciones específicas, pueden fluir a páginas en modo de desarrollo. El impacto esperado es mínimo o nulo. El desarrollo de Vite no está expuesto a la red de forma predeterminada e incluso si alguien pudiera engañar a un desarrollador para que ejecute un XSS contra sí mismo, una base de datos de desarrollo no debería tener ningún dato confidencial. No obstante, este problema se ha solucionado en la versión 2.8.3 y se recomienda a todos los usuarios que actualicen.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 2.00 BAJA
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Activo
Confidentiality (VC): Bajo
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

2.00

Gravedad 4.0

BAJA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno