Remoção Incorreta de Informações Sensíveis Antes do Armazenamento ou Transferência em eventsource/eventsource

Um atacante pode explorar essa vulnerabilidade para obter acesso a informações sensíveis que são processadas pela biblioteca eventsource. Isso pode incluir credenciais de autenticação, chaves de API, dados de configuração ou qualquer outra informação que seja armazenada ou transmitida sem a devida sanitização. A exploração bem-sucedida pode resultar em comprometimento da confidencialidade dos dados, permitindo que o atacante acesse informações confidenciais e as utilize para fins maliciosos. O impacto pode variar dependendo da natureza dos dados expostos e do contexto em que a biblioteca eventsource é utilizada.

Applications built using Node.js that rely on the eventsource library for event streaming or long-polling functionality are at risk. This includes web applications, backend services, and any other systems integrating this library. Developers who haven't recently reviewed their dependencies are particularly vulnerable.

• nodejs / server:

  npm list eventsource

This command will list the installed version of the eventsource library. If the version is less than v2.0.2, the system is vulnerable. • nodejs / server:

npm audit eventsource

This command will check for known vulnerabilities in the eventsource library and report any findings. • generic web: Review application code for instances where the eventsource library is used. Look for potential data leakage points where sensitive information might be passed to or from the library without proper sanitization.

1. 2022-05-12Disclosure

   disclosure

1. Reservado2022-05-10
2. Publicada2022-05-12
3. Modificada2024-08-03
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2022-1650 é atualizar a biblioteca eventsource para a versão 2.0.2 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade ou dependências, considere implementar medidas de segurança adicionais, como a sanitização rigorosa de todos os dados que são processados pela biblioteca eventsource. Monitore os logs do sistema em busca de atividades suspeitas que possam indicar uma tentativa de exploração da vulnerabilidade. Após a atualização, verifique a integridade da instalação da biblioteca e confirme que a versão corrigida está em uso.