ホーム
» GitHub Security Advisories
» GHSA-phwv-c562-gvmh
説明
The contents of bind:innerText and bind:textContent on contenteditable elements were not properly escaped. This could enable HTML injection and Cross-site Scripting (XSS) if rendering untrusted data as the binding's initial value on the server.
基本情報
タイプ
reviewed
深刻度
medium GitHub 上のアドバイザリ
アドバイザリを開く ↗ リポジトリのアドバイザリ
リポジトリのアドバイザリを開く ↗ ソースコード
ソースを見る ↗ 公開（アドバイザリ）
2026-02-26 22:24:54 UTC
更新
2026-03-11 21:14:50 UTC
GitHub レビュー済み
2026-02-26 22:24:54 UTC
NVD で公開
2026-02-25
EPSS Score
Score
Percentile
0.03%
8.33%
CVSS Scores
Base score
Version
Severity
Vector
5.3
4.0
—
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:H/SI:H/SA:N
クリックして展開
攻撃ベクター (AV:N)
インターネットや社内 WAN など、ルーティングされたネットワーク越しに遠隔から踏み台にしうる。
攻撃の複雑さ (AC:H)
タイミング・負荷・周辺設定に左右され、安定して成功させにくい。
攻撃要件 (AT:P)
特定のミドルウェア状態やデータ配置など、追加前提が揃わないと成立しない。
必要な権限 (PR:N)
昇格やログインなしで踏み台にしうる。
ユーザーの関与 (UI:P)
リンクのクリック、インストール承認など、一度の人の判断が要る。
脆弱システムの機密性への影響 (VC:L)
一部のデータや属性が漏えいしうるが、事業全体としては限定的。
脆弱システムの完全性への影響 (VI:N)
改ざん・なりすましで信頼が揺らぐ局面はほとんど想定されない。
脆弱システムの可用性への影響 (VA:N)
業務を止めるほどの停止や劣化は想定しにくい。
後続システムの機密性への影響 (SC:H)
下流に広がる機微情報の窃取や長期滞留が現実的。
後続システムの完全性への影響 (SI:H)
下流にまたがる広範な改竄や偽装が現実的。
後続システムの可用性への影響 (SA:N)
下流サービスが止まるほどの影響は想定しにくい。
CWEs
CWE id
Name
CWE-79
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
Credits
paoloricciuti
(remediation_reviewer)
elliott-with-the-longest-name-on-github
(remediation_reviewer)
KarimPwnz
(remediation_developer)
Affected packages (1)
Vulnerable version ranges and first patched releases as published by GitHub.
Ecosystem
Package
Vulnerable range
First patched
Vulnerable functions
npm
svelte <= 5.53.4
5.53.5
—
cvelogic
Threat Intelligence