p PatchFirst

CVE-2026-33128

CVE-2026-33128 · h3 has a Server-Sent Events Injection via Unsanitized Newlines in Event Stream Fields

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

H3 is a minimal H(TTP) framework. In versions prior to 1.15.6 and between 2.0.0 through 2.0.1-rc.14, createEventStream is vulnerable to Server-Sent Events (SSE) injection due to missing newline sanitization in formatEventStreamMessage() and formatEventStreamComment(). An attacker who controls any part of an SSE message field (id, event, data, or comment) can inject arbitrary SSE events to connected clients. This issue is fixed in versions 1.15.6 and 2.0.1-rc.15.

CVSS 7.5 · Élevée · EPSS 0,6% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • h3

    Versions du logiciel
    • >= 2.0.0, < 2.0.1-rc.15: Concernée
    • < 1.15.6: Concernée

    Aucun correctif publié

  • h3 npm

    Plages de versions concernées
    • SEMVER: ≥ 2.0.0, < 2.0.1-rc.15

    Mettez à jour vers 2.0.1-rc.15

  • h3 npm

    Plages de versions concernées
    • SEMVER: < 1.15.6

    Mettez à jour vers 1.15.6

Sources originales

Vérifiez votre serveur →