PT-2026-26192
CVE-2026-33128
·
تاريخ النشر
2026-03-18
·
تاريخ التحديث
2026-03-22
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات H3 السابقة للإصدار 1.15.6 والإصدارات من 2.0.0 حتى 2.0.1-rc.14
الوصف
تتعرض الدالة
createEventStream في H3 لحقن أحداث مرسلة من الخادم (SSE) بسبب عدم وجود عملية تنقية لرموز الأسطر الجديدة داخل الدالتين formatEventStreamMessage() وformatEventStreamComment(). يمكن للمهاجم الذي يتحكم في أي جزء من حقل رسالة SSE – id أو event أو data أو التعليق – حقن أحداث SSE عشوائية إلى العملاء المتصلين. يعتمد بروتوكول SSE على أحرف الأسطر الجديدة كمحددات للحقول، وعلى الأسطر الجديدة المزدوجة كفواصل للأحداث. ويسمح غياب عملية تنقية أحرف الأسطر الجديدة للمهاجمين بحقن حقول وأحداث جديدة، والتلاعب بسلوك إعادة الاتصال، وتجاوز معرّف الحدث الأخير (Last-Event-ID). وقد يؤدي ذلك إلى حقن محتوى عبر المستخدمين، وهجمات التصيد الاحتيالي، وتزوير الأحداث، وحجب الخدمة من خلال محاولات إعادة اتصال مكثفة، والتلاعب بإعادة تشغيل الأحداث عند إعادة الاتصال. تكمن المشكلة في ملف src/utils/internal/event-stream.ts، الأسطر 170-187.التوصيات
يجب تحديث الإصدارات الأقدم من 1.15.6 إلى الإصدار 1.15.6 أو أحدث.
يجب تحديث الإصدارات من 2.0.0 إلى 2.0.1-rc.14 إلى الإصدار 2.0.1-rc.15 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾