PT-2026-37313 · Npm · Sse-Channel

Publicado 2026-05-05 · Atualizado 2026-05-12 · CVE-2026-44217

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.6

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas sse-channel versões anteriores a 4.0.1

Descrição Implementações que permitem que valores fornecidos pelo usuário sejam passados para os campos event, retry ou id estão suscetíveis a spoofing de eventos. Isso permite que um invasor injete Eventos Enviados pelo Servidor (SSE) arbitrários no fluxo, o que pode desencadear comportamentos inesperados em ouvintes de EventSource do JavaScript no frontend. Consequentemente, os consumidores do fluxo SSE não conseguem distinguir eventos injetados de eventos legítimos, comprometendo a integridade dos dados.

Recomendações Atualize para a versão 4.0.1. Não permita que dados do usuário controlem os campos event, retry ou id; se necessário, sanitize a entrada removendo quaisquer quebras de linha antes de passá-la para o sse-channel.

Correção

Enumeração de Fraquezas

CWE-93

Identificadores relacionados

CVE-2026-44217

GHSA-84HM-WFH8-C5PG

Produtos afetados

Sse-Channel

Referências · 8

• https://github.com/rexxars/sse-channel/issues/42 · Nota
• https://github.com/rexxars/sse-channel · Nota
• https://github.com/rexxars/sse-channel/security/advisories/GHSA-84hm-wfh8-c5pg · Nota
• https://osv.dev/vulnerability/GHSA-84hm-wfh8-c5pg · Aviso do Fabricante
• https://twitter.com/dailycve/status/2051829223204004099 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2054324052110737458 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44217 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1t5dfkb/resumen_diario_de_vulnerabilidades_06052026 · Publicação no Reddit