CVE-2026-43968

ninenines cowlib-də CRLF ardıcıllıqlarının yanlış neytrallaşdırılması ('CRLF Injection') zəifliyi, təsdiqlənməmiş sahə dəyərləri vasitəsilə SSE hadisələrinin bölünməsinə və inyeksiyasına şərait yaradır. cowlib-dəki cow_sse:event/1 funksiyası id və event sahələrini \n simvolundan qoruyur, lakin tək \r simvoluna qarşı qorumuşu yoxdur və data və comment sahələri üçün istifadə olunan daxili prefix_lines/2 funksiyası sətirləri yalnız \n əsasında bölür. SSE spesifikasiyası dekoderlərin \r\n, \r və \n simvollarını ekvivalent sətir sonlandırıcıları kimi qəbul etməsini tələb etdiyi üçün, bu sahələrdən hər hansı birini idarə edən hücumçu əlavə SSE sətirləri inyeksiya edə bilər və qəbuledici tərəfdə ixtiyari hadisə tipi və məlumat yükü ilə tam hadisə saxtalaşa bilər. Brauzer EventSource klientlərinin və ya digər SSE istehlakçılarının event.type üzrə paylama və event.data-nı render etməklə işlədiyi tipik tətbiqlərdə bu, hadisələrin bölünməsinə, klient tərəfli məntiqin manipulyasiyasına və hadisə məlumatları DOM-a daxil edildikdə stored-XSS-ekvivalent davranışına imkan verir. Bu problem cowlib-in 2.6.0 versiyasından 2.16.1 versiyasına qədər olan hissəsinə təsir edir.