CVE-2026-86252
Açıklama
1.15.9 öncesindeki h3 sürümleri, EventStream verilerindeki ve yorum alanlarındaki satır başı (carriage return) karakterlerini temizlemede başarısız olur; bu durum, saldırganların temizlenmemiş satır başları ekleyerek keyfi SSE olayları enjekte etmesine olanak tanır. Saldırganlar, yalnızca yeni satır (newline) enjeksiyonunu ele alan önceki CVE düzeltmesini atlayarak; olay türü direktifleri enjekte edebilir, tek bir push çağrısını tarayıcı tarafından ayrıştırılan birden fazla olaya bölebilir veya veri enjekte etmek için yorum alanlarından çıkış yapabilirler.
Nasıl düzeltilir
- h32.0.1-rc.17, 1.15.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| h3npm | 2.0.0-beta.0 ≤ v < 2.0.1-rc.17, v < 1.15.9 | 2.0.1-rc.17, 1.15.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.