在存储或传输前未正确删除敏感信息 eventsource/eventsource

此漏洞的影响在于攻击者可能能够访问存储在 eventsource 库中的敏感数据，例如 API 密钥、数据库密码或其他机密信息。攻击者可以通过拦截或操纵 eventsource 的数据流来提取这些信息。由于 eventsource 库被广泛应用于 Node.js 应用中，因此该漏洞的潜在影响范围非常广泛。如果攻击者成功获取了敏感数据，他们可能利用这些数据进行进一步的攻击，例如入侵数据库、窃取用户数据或破坏系统。

Applications built using Node.js that rely on the eventsource library for event streaming or long-polling functionality are at risk. This includes web applications, backend services, and any other systems integrating this library. Developers who haven't recently reviewed their dependencies are particularly vulnerable.

• nodejs / server:

  npm list eventsource

This command will list the installed version of the eventsource library. If the version is less than v2.0.2, the system is vulnerable. • nodejs / server:

npm audit eventsource

This command will check for known vulnerabilities in the eventsource library and report any findings. • generic web: Review application code for instances where the eventsource library is used. Look for potential data leakage points where sensitive information might be passed to or from the library without proper sanitization.

1. 2022-05-12Disclosure

   disclosure

1. 已保留2022-05-10
2. 发布日期2022-05-12
3. 修改日期2024-08-03
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 eventsource 库升级至 v2.0.2 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，并监控 eventsource 的数据流以检测异常活动。此外，建议审查应用程序的代码，确保所有敏感信息都经过适当的加密和保护，并且在不再需要时及时清除。升级后，请验证新版本是否正确安装并配置，以确保漏洞已成功修复。