Jviide

**Name of the Vulnerable Software and Affected Versions** Svelte devalue versions prior to 5.6.4 **Description** Svelte devalue is a JavaScript library used for serializing values into strings when JSON.stringify is insufficient. Versions 5.6.3 and earlier of `devalue.parse` and `devalue.unflatten` are susceptible to prototype pollution through maliciously crafted payloads. Successful exploitation could result in Denial of Service (DoS) or type confusion. **Recommendations** Update to version 5.6.4 or later.

**Nome do Software Vulnerável e Versões Afetadas** SvelteKit versões 2.49.0 through 2.53.2 **Description** Um problema de expansão de desserialização existe na função remota experimental de formulário. Quando uma aplicação habilita `experimental.remoteFunctions` e utiliza a função `form()` para processar o array `files` sem validar `files.length` ou os tamanhos de arquivos individuais, um invasor pode enviar entradas pequenas que se expandem em arrays de arquivos muito grandes. Isso resulta em processamento oneroso e negação de serviço. **Recommendations** Atualize o SvelteKit para a versão 2.53.3. Como mitigação temporária, valide `files.length` e os tamanhos de arquivos individuais ao usar a função `form()`, ou desabilite o recurso `experimental.remoteFunctions`.

**Nome do Software Vulnerável e Versões Afetadas** Svelte devalue versões 5.3.0 a 5.6.1 **Descrição** Certas entradas podem fazer com que a função `devalue.parse` consuma tempo excessivo da CPU e/ou memória, possivelmente levando a uma negação de serviço em sistemas que analisam entradas de fontes não confiáveis. Isso afeta aplicações que utilizam `devalue.parse` em dados fornecidos externamente. A causa raiz é a hidratação de array tipado esperar um `ArrayBuffer` como entrada, mas não verificar essa suposição antes de criar o array tipado. **Recomendações** Atualize para a versão 5.6.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Svelte devalue versões 5.1.0 até 5.6.1 **Descrição** Certas entradas podem fazer com que a função `devalue.parse` consuma tempo excessivo de CPU e/ou memória, potencialmente levando a uma negação de serviço. Isso afeta aplicações que utilizam `devalue.parse` em dados fornecidos externamente. O problema decorre da lógica de hidratação do `ArrayBuffer` não validar a entrada antes do processamento, esperando especificamente strings codificadas em base64 sem verificação. **Recomendações** Atualize para a versão 5.6.2 ou posterior.