SvelteKit до 3.0.0: SSRF через редиректы в серверных self-fetch fallback — CVE-2026-114062
В SvelteKit до версии 3.0.0 обнаружена уязвимость серверной подделки запросов (SSRF): механизм self-fetch fallback автоматически следует HTTP-редиректам. Атакующий может подменить заголовки Host или forwarded, направить fallback-запрос на свой сервер и через редирект достучаться до внутренних сервисов. Уровень опасности — средний (CVSS 6.9).
Подробности
Уязвимость присутствует в пакете sveltejs kit во всех версиях до 3.0.0. Согласно описанию, механизм self-fetch fallback, используемый на стороне сервера, автоматически следует HTTP-редиректам. Из-за этого злоумышленник, контролирующий значения заголовков Host или forwarded, может направить fallback-запрос на подконтрольный ему сервер. Тот, в свою очередь, отвечает редиректом на внутренний ресурс — и приложение SvelteKit послушно выполняет запрос уже к внутренним сервисам, недоступным извне. Ключевые характеристики: - Тип уязвимости: Server-Side Request Forgery (SSRF) через автоматическое следование редиректам. - Вектор атаки: сетевой, удалённый, без необходимости аутентификации. - Затронутый компонент: серверные self-fetch fallback-обработчики SvelteKit. - Затронутые версии: SvelteKit до 3.0.0. - Оценка CVSS: 6.9 (MEDIUM). Практический риск зависит от архитектуры приложения. Если SvelteKit-сервер имеет сетевой доступ к внутренним API, админ-панелям, метаданным облака или сервисам в приватных подсетях, SSRF может привести к раскрытию внутренней информации, обходу сетевых ограничений и, в ряде сценариев, к дальнейшей эскалации атаки. Именно сочетание «доверенного» серверного окружения и автоматического следования редиректам делает уязвимость опасной, несмотря на средний балл CVSS.Что делать
Основная рекомендация — обновить SvelteKit до версии 3.0.0 или выше, где поведение self-fetch fallback исправлено и редиректы больше не обрабатываются небезопасным образом. Перед обновлением стоит проверить собственные обёртки и middleware, работающие с заголовками Host и forwarded, а также убедиться, что приложение не полагается на неявное следование редиректам в серверных запросах. Если немедленное обновление невозможно, применяйте компенсирующие меры: - ограничьте исходящий сетевой доступ сервера приложения (egress-фильтрация, запрет обращений к приватным диапазонам и metadata-endpoint облачных провайдеров); - настройте строгую валидацию заголовков Host и forwarded на уровне reverse-proxy, отбрасывая неожиданные значения; - по возможности отключите или переопределите логику self-fetch fallback в собственной конфигурации; - включите мониторинг аномальных исходящих запросов и логирование редиректов на стороне сервера. Также рекомендуется проверить журналы на предмет подозрительных запросов с изменёнными заголовками Host/forwarded за период, когда уязвимая версия эксплуатировалась. Итог: CVE-2026-114062 — наглядный пример того, как «удобное» поведение фреймворка (автоматическое следование редиректам) превращается в вектор SSRF. Риск оценивается как средний, но для приложений с богатой внутренней сетевой инфраструктурой последствия могут быть серьёзными. Обновление до SvelteKit 3.0.0 и жёсткий контроль исходящего трафика закрывают проблему.Источник: CVE Project (cvelistV5)