CVE-2026-43968

ninenines cowlib içerisindeki 'CRLF Dizilerinin Uygun Şekilde Etkisizleştirilmemesi' ('CRLF Injection') zafiyeti, doğrulanmamış alan değerleri aracılığıyla SSE olay bölme ve enjeksiyonuna izin verir. cowlib içindeki cow_sse:event/1 fonksiyonu, id ve event alanlarını \n karakterine karşı korur ancak yalın \r karakterine karşı korumaz; ayrıca veri ve yorum alanları için kullanılan dahili prefix_lines/2 fonksiyonu yalnızca \n üzerinden bölme işlemi yapar. SSE spesifikasyonu, dekoderlerin \r\n, \r ve \n karakterlerini eşdeğer satır sonlandırıcılar olarak değerlendirmesini gerektirdiğinden, bu alanlardan herhangi birini kontrol eden bir saldırgan ek SSE satırları enjekte edebilir ve alıcı tarafta rastgele bir olay türü ile veri yüküne sahip eksiksiz bir olayı taklit edebilir. Tarayıcı EventSource istemcilerinin veya diğer SSE tüketicilerinin event.type üzerinden işlem yaptığı ve event.data içeriğini işlediği tipik dağıtımlarda bu durum; olay bölmeye, istemci tarafı mantık manipülasyonuna ve olay verileri DOM'a eklendiğinde saklı XSS (stored-XSS) benzeri davranışlara olanak tanır. Bu sorun, 2.6.0 ile 2.16.1 arasındaki cowlib sürümlerini etkilemektedir.