CVE-2026-44217

Nome do Software Vulnerável e Versões Afetadas sse-channel versões anteriores a 4.0.1

Descrição Implementações que permitem que valores fornecidos pelo usuário sejam passados para os campos event, retry ou id estão suscetíveis a spoofing de eventos. Isso permite que um invasor injete Eventos Enviados pelo Servidor (SSE) arbitrários no fluxo, o que pode desencadear comportamentos inesperados em ouvintes de EventSource do JavaScript no frontend. Consequentemente, os consumidores do fluxo SSE não conseguem distinguir eventos injetados de eventos legítimos, comprometendo a integridade dos dados.

Recomendações Atualize para a versão 4.0.1. Não permita que dados do usuário controlem os campos event, retry ou id; se necessário, sanitize a entrada removendo quaisquer quebras de linha antes de passá-la para o sse-channel.