SvelteKit 预渲染页面缓存头 XSS 漏洞

GitHub 安全公告库发布公告（GHSA-27mw-82g8-phjj）：SvelteKit 应用若预渲染页面，并通过 setHeaders 将不可信来源的 cache-control 头写入页面，因该值未转义，可导致跨站脚本（XSS）。攻击者可在预渲染时注入 HTML 或 JavaScript，并在用户访问时执行。 公告给出的处置方式是：将 @sveltejs/kit 升级到 3.0.0 或更高版本；在预渲染页面上避免用 setHeaders 转发不可信的 cache-control 头值。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。