攻撃者が制御するキーがhydratableに渡された場合、非同期ハイドレーションにおいてSSRのXSS脆弱性が存在します。キーはHTML安全なエスケープ処理なしにscriptブロック内に埋め込まれているため、/scriptタグがスクリプトを終了させ、任意のJavaScriptを注入できます。これによりユーザーのブラウザでリモートスクリプトの実行が可能になり、セッションの盗難やアカウント侵害のリスクが発生します。この問題はSvelteのバージョン5.46.0から5.46.3未満に影響を及ぼします。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。