CVE-2026-86252 in h3js
Résumé
par VulDB • 06/09/2026
Les versions d'h3 antérieures à la 1.15.9 ne nettoient pas les caractères de retour chariot dans les données EventStream et les champs de commentaire, permettant aux attaquants d'injecter des événements SSE arbitraires en incluant des retours chariot non nettoyés. Les attaquants peuvent injecter des directives de type d'événement, diviser un appel push unique en plusieurs événements analysés par le navigateur ou contourner les champs de commentaire pour y injecter des données, contournant ainsi la correction précédente du CVE qui ne traitait que l'injection de sauts de ligne.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.