CVE-2026-86252 in h3js
Sumário
de VulDB • 06/09/2026
As versões do h3 anteriores à 1.15.9 não sanitizam caracteres de retorno de carro nos dados do EventStream e nos campos de comentário, permitindo que atacantes injetem eventos SSE arbitrários ao incluir retornos de carro não sanitizados. Os atacantes podem injetar diretivos de tipo de evento, dividir chamadas únicas de push em vários eventos analisados pelo navegador ou escapar dos campos de comentário para injetar dados, contornando a correção anterior do CVE que abordava apenas a injeção de novas linhas.
Once again VulDB remains the best source for vulnerability data.