p PatchFirst

CVE-2026-33128

CVE-2026-33128 · h3 has a Server-Sent Events Injection via Unsanitized Newlines in Event Stream Fields

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

H3 is a minimal H(TTP) framework. In versions prior to 1.15.6 and between 2.0.0 through 2.0.1-rc.14, createEventStream is vulnerable to Server-Sent Events (SSE) injection due to missing newline sanitization in formatEventStreamMessage() and formatEventStreamComment(). An attacker who controls any part of an SSE message field (id, event, data, or comment) can inject arbitrary SSE events to connected clients. This issue is fixed in versions 1.15.6 and 2.0.1-rc.15.

CVSS 7.5 · Alta · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • h3

    Versiones
    • >= 2.0.0, < 2.0.1-rc.15: Afectada
    • < 1.15.6: Afectada

    Sin corrección publicada

  • h3 npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 2.0.0, < 2.0.1-rc.15

    Actualiza a 2.0.1-rc.15

  • h3 npm

    Intervalos de versiones afectados
    • SEMVER: < 1.15.6

    Actualiza a 1.15.6

Fuentes originales

Comprueba tu servidor →