CVE-2026-43968

إصدارات cowlib 2.6.0 وما بعدها

يؤدي التعطيل غير السليم لتسلسلات CRLF (حقن CRLF) إلى تمكين تقسيم أحداث SSE وحقنها من خلال قيم الحقول غير المصادق عليها. تحمي الدالة cow sse:event/1 الحقلين id وevent من ولكنها لا تحميهما من r، في حين أن الدالة الداخلية prefix lines/2 المستخدمة لحقول البيانات والتعليقات لا تقسم إلا عند . نظرًا لأن مواصفات SSE تعامل r وr و على أنها علامات إنهاء سطر متكافئة، يمكن للمهاجم الذي يتحكم في هذه الحقول حقن أسطر SSE إضافية لتزوير أحداث ذات أنواع وحمولات بيانات تعسفية. في البيئات التي يقوم فيها عملاء EventSource في المتصفح أو مستهلكو SSE الآخرون بعرض event.data أو التوزيع بناءً على event.type، يمكن أن يؤدي ذلك إلى التلاعب بالمنطق من جانب العميل وسلوك مكافئ لـ XSS المخزّن عند إدراج البيانات في DOM.

بالنسبة للإصدارات 2.6.0 وما بعدها، قم بتنقية القيم التي يتحكم فيها المستخدم قبل تمريرها إلى cow sse:event/1 عن طريق رفض أو إزالة أي قيمة تحتوي على أحرف r أو في الحقول id وevent وdata وcomment.

تأكد من أن جميع قيم حقول SSE مستمدة حصريًّا من بيانات موثوقة يتحكم فيها التطبيق، وليس من مدخلات المستخدم.