eventsource/eventsource リポジトリにおける、保存または転送前に機密情報が適切に削除されていない問題

この脆弱性は、攻撃者が機密情報を不正に取得する可能性があります。具体的には、イベントソース処理中に、ユーザーの認証情報、APIキー、またはその他の機密データが適切に削除されずに保存または転送される可能性があります。攻撃者は、この情報を利用して、システムへの不正アクセス、データの盗難、またはその他の悪意のある活動を行う可能性があります。この脆弱性は、Node.jsアプリケーションでeventsourceライブラリを使用している場合に特に深刻な影響を及ぼします。

Applications built using Node.js that rely on the eventsource library for event streaming or long-polling functionality are at risk. This includes web applications, backend services, and any other systems integrating this library. Developers who haven't recently reviewed their dependencies are particularly vulnerable.

• nodejs / server:

  npm list eventsource

This command will list the installed version of the eventsource library. If the version is less than v2.0.2, the system is vulnerable. • nodejs / server:

npm audit eventsource

This command will check for known vulnerabilities in the eventsource library and report any findings. • generic web: Review application code for instances where the eventsource library is used. Look for potential data leakage points where sensitive information might be passed to or from the library without proper sanitization.

1. 2022-05-12Disclosure

   disclosure

1. 予約済み2022-05-10
2. 公開日2022-05-12
3. 更新日2024-08-03
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、eventsourceライブラリをバージョン2.0.2以降にアップデートすることです。アップデートがすぐに適用できない場合は、入力データの検証を強化し、機密情報がログに記録されたり、ネットワーク経由で送信されたりするのを防ぐための追加のセキュリティ対策を講じる必要があります。また、WAF（Web Application Firewall）を使用して、悪意のあるイベントソースリクエストをブロックすることも有効です。