PT-2026-39241 · Npm+1 · Eventsource-Encoder

Rexxars · Publicado 2026-05-08 · Atualizado 2026-05-26 · CVE-2026-44214

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas eventsource-encoder versões anteriores a 1.0.2

Descrição O software não sanitiza os campos event e id de um EventSourceMessage antes da serialização na função encodeMessage(). Um invasor que controle esses campos pode injetar terminadores de linha de Server-Sent Events (SSE) ( , r ou r ), permitindo a falsificação de campos SSE adicionais ou mensagens inteiras no fluxo. Isso pode levar à falsificação de eventos de tipos arbitrários, injeção de campos como data:, id: ou retry:, divisão de uma única chamada de codificação em múltiplos eventos de navegador ou a sobreposição do Last-Event-ID do cliente.

Recomendações Atualize para a versão 1.0.2. Como medida paliativa temporária, valide ou remova os terminadores de linha de qualquer valor não confiável antes de passá-lo para as funções encode ou encodeMessage().

Exploit

Correção

Enumeração de Fraquezas

CWE-113

CWE-93

Identificadores relacionados

CVE-2026-44214

GHSA-M9G3-3G99-MHPX

Produtos afetados

Eventsource-Encoder

Referências · 6

• 🔥 https://github.com/rexxars/eventsource-encoder/security/advisories/GHSA-m9g3-3g99-mhpx · Exploit
• https://github.com/rexxars/eventsource-encoder · Nota
• https://t.me/CVEtracker/55023 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-44214 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-m9g3-3g99-mhpx · Aviso do Fabricante
• https://html.spec.whatwg.org/multipage/server-sent-events.html#parsing-an-event-stream · Nota