Hoch

Sending a GET or HEAD request with a body crashes SvelteKit

Veröffentlicht: 24.01.2024
Aktualisiert: 11.10.2026 10:22

Summary

In SvelteKit 2 sending a GET request with a body eg {} to a SvelteKit app in preview or with adapter-node throws Request with GET/HEAD method cannot have body. and crashes the app.

node:internal/deps/undici/undici:6066
          throw new TypeError("Request with GET/HEAD method cannot have body.");
                ^

TypeError: Request with GET/HEAD method cannot have body.
    at new Request (node:internal/deps/undici/undici:6066:17)
    at getRequest (file:///C:/Users/admin/Desktop/reproduction/node_modules/@sveltejs/kit/src/exports/node/index.js:107:9)
    at file:///C:/Users/admin/Desktop/reproduction/node_modules/@sveltejs/kit/src/exports/vite/preview/index.js:181:26
    at call (file:///C:/Users/admin/Desktop/reproduction/node_modules/vite/dist/node/chunks/dep-9A4-l-43.js:44795:7)
    at next (file:///C:/Users/admin/Desktop/reproduction/node_modules/vite/dist/node/chunks/dep-9A4-l-43.js:44739:5)
    at file:///C:/Users/admin/Desktop/reproduction/node_modules/@sveltejs/kit/src/exports/vite/preview/index.js:172:6
    at call (file:///C:/Users/admin/Desktop/reproduction/node_modules/vite/dist/node/chunks/dep-9A4-l-43.js:44795:7)
    at next (file:///C:/Users/admin/Desktop/reproduction/node_modules/vite/dist/node/chunks/dep-9A4-l-43.js:44739:5)
    at file:///C:/Users/admin/Desktop/reproduction/node_modules/@sveltejs/kit/src/exports/vite/preview/index.js:211:27
    at call (file:///C:/Users/admin/Desktop/reproduction/node_modules/vite/dist/node/chunks/dep-9A4-l-43.js:44795:7)

Node.js v20.11.0

TRACE requests will also cause the app to crash. Prerendered pages and SvelteKit 1 apps are not affected.

PoC

First do a fresh install of SvelteKit 2 with the example app. Typescript.

npm run build
npm run preview
Go to http://localhost:4173 (works)
curl -X GET -d "{}" http://localhost:4173/bye
Application crashes and http://localhost:4173 is down

Impact

Denial of Service for apps using adapter-node

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	@sveltejs/adapter-node	>= 2.0.0, < 2.1.2, >= 3.0.0, < 3.0.3, >= 4.0.0, < 4.0.1	2.1.2, 3.0.3, 4.0.1
npm-Paket	@sveltejs/kit	>= 2.0.0, < 2.4.3	2.4.3

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE): CWE-20
Plattform: npm
Paket: @sveltejs/adapter-node, @sveltejs/kit
Veröffentlicht: 24.01.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-g5m6-hxpp-fc49 - CC BY 4.0

Schwachstellenhistorie: @sveltejs/kit

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (17) im Archiv

Einträge insgesamt: 17
Erste → letzte: 04.2023 08.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 6
Mittel 8
Niedrig 3

Veröffentlichungen pro Jahr

2023: 2
2024: 3
2025: 1
2026: 11

10.04.2026

@sveltejs/adapter-node has a BODY_SIZE_LIMIT bypass

Hoch CVE-2026-40073 < 2.57.1 2.57.1
15.01.2026

@sveltejs/kit has memory amplification DoS vulnerability in Remote Functions binary form deserializer (application/x-sveltekit-formdata)

Hoch CVE-2026-22803 >= 2.49.0, < 2.49.5 2.49.5
15.01.2026

SvelteKit is vulnerable to denial of service and possible SSRF when using prerendering

Hoch CVE-2025-67647 >= 2.19.0, < 2.49.5 2.49.5
24.01.2024

Sending a GET or HEAD request with a body crashes SvelteKit dieser Eintrag

Hoch · 7.5 CVE-2024-23641 >= 2.0.0, < 2.4.3 2.4.3
07.04.2023

SvelteKit framework has Insufficient CSRF protection for CORS requests

Hoch · 8.8 CVE-2023-29008 < 1.15.2 1.15.2
04.04.2023

SvelteKit vulnerable to Cross-Site Request Forgery

Hoch · 8.8 CVE-2023-29003 < 1.15.1 1.15.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden