SvelteSpill: SvelteKit + Vercelにおけるキャッシュディセプション脆弱性

【なぜ重要か】 SvelteKitとVercelの組み合わせは日本でも人気が高く、この脆弱性により攻撃者が他のログインユーザーの機密データを盗み見ることができる深刻なセキュリティリスクが存在していました。Aikido SecurityのAIエージェントが発見し、CVE-2026-27118として登録されています。

【ポイント】

• SvelteKitのVercelアダプターで__pathnameクエリパラメータが任意のパスを上書きできる仕様が存在
• /_app/immutable/パスプレフィックスを持つリクエストはVercelで強制的にキャッシュされる
• 攻撃者が/_app/immutable/x?__pathname=/api/sessionのようなURLで被害者を誘導し、機密データをキャッシュに保存させる
• その後、攻撃者が同じURLにクッキーなしでアクセスすることで、キャッシュから被害者のセッショントークンなどを取得可能
• Vercelが自動的に修正を適用し、すべてのユーザーに対して問題は解決済み

【まとめ】 SvelteKit + Vercelのキャッシュディセプション脆弱性により他ユーザーの機密データが盗まれる可能性がありましたが、既に修正済みです。