PT-2026-30760 · Nest · Nest
Aleister1102
·
Publicado
2026-04-06
·
Atualizado
2026-04-10
·
CVE-2026-35515
CVSS v4.0
6.3
Média
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:L/SA:N |
Name of the Vulnerable Software and Affected Versions
Nest versões anteriores a 11.1.18
Description
A função
SseStream. transform() interpola message.type e message.id diretamente na saída de texto do protocolo Server-Sent Events sem higienizar caracteres de nova linha (r,
). Como o protocolo SSE usa r e
como delimitadores de campo ecomo limites de evento, um invasor que possa influenciar esses campos pode injetar eventos SSE arbitrários, falsificar tipos de evento e corromper o estado de reconexão. Um invasor pode forjar eventos SSE com tipos de evento arbitrários
event:, fazendo com que os callbacks EventSource.addEventListener() do lado do cliente sejam acionados para tipos de evento incorretos. Eles também podem injetar cargas úteis data:, o que pode levar a XSS se o cliente renderizar dados SSE como HTML sem higienização. Além disso, os invasores podem injetar campos id:, corrompendo o cabeçalho Last-Event-ID na reconexão, fazendo com que o cliente perca ou reproduza eventos. O ataque requer que o desenvolvedor mapeie dados influenciados pelo usuário para os campos type ou id das mensagens SSE.Recommendations
Atualize para a versão 11.1.18 ou posterior.
Correção
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nest