CVE-2026-86252 in h3js
Сводка
по VulDB • 07.09.2026
В версиях h3 до 1.15.9 отсутствует санитизация символов возврата каретки (carriage return) в данных EventStream и полях комментариев, что позволяет злоумышленникам внедрять произвольные события SSE путем включения несанитизированных возвратов каретки. Злоумышленники могут внедрять директивы типов событий, разделять одиночные вызовы push на несколько событий, парсимых браузером, или выходить за пределы полей комментариев для внедрения данных, обходя исправление предыдущего CVE, которое касалось только инъекции символов новой строки.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.