CVE-2026-86252
CVE-2026-86252 · h3 before 1.15.9 SSE Event Injection via Carriage Return
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
h3 versions before 1.15.9 fail to sanitize carriage return characters in EventStream data and comment fields, allowing attackers to inject arbitrary SSE events by including unsanitized carriage returns. Attackers can inject event type directives, split single push calls into multiple browser-parsed events, or escape comment fields to inject data, bypassing the prior CVE fix that only addressed newline injection.
CVSS 6.9 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
h3
- Versions du logiciel
- ≥ 0, < 1.15.9: Concernée (semver)
- 1.15.9: Non concernée (semver)
- ≥ 2.0.0-beta.0, < 2.0.1-rc.17: Concernée (semver)
- 2.0.1-rc.17: Non concernée (semver)
Mettez à jour vers 1.15.9; Mettez à jour vers 2.0.1-rc.17
h3 npm
- Plages de versions concernées
- SEMVER: ≥ 2.0.0-beta.0, < 2.0.1-rc.17
Mettez à jour vers 2.0.1-rc.17
h3 npm
- Plages de versions concernées
- SEMVER: < 1.15.9
Mettez à jour vers 1.15.9