KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-1650 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
EventSource是一种 EventSource 客户端的纯 JavaScript 实现。
EventSource 2.0.2之前版本存在安全漏洞，该漏洞源于将敏感信息暴露给未经授权的 Actor。
影响范围
应用：eventsource eventsource（影响面 Up to (excluding) 2.0.2）
系统：debian_10 node-eventsource（影响面 Up to (excluding) 0.2.1-1+deb10u1）
系统：debian_11 node-eventsource（影响面 Up to (excluding) 1.0.7-1+deb11u1）
系统：debian_12 node-eventsource（影响面 Up to (excluding) 2.0.2+~1.1.8-1）
系统：rocky_linux_8 dotnet3.1（影响面 Up to (excluding) 3.1.422-1.el8_6）
系统：ubuntu_18.04 node-eventsource（影响面 Up to (excluding) 0.2.1-1+deb10u1build0.18.04.1）
系统：ubuntu_20.04 node-eventsource（影响面 Up to (excluding) 0.2.1-1+deb10u1build0.20.04.1）
系统：ubuntu_22.04 node-eventsource（影响面 Up to (excluding) 1.1.0+~1.1.8-1ubuntu0.1）
解决方案
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/eventsource/eventsource/commit/10ee0c4881a6ba2fe65ec18ed195ac35889583c4
参考信息
https://github.com/eventsource/eventsource/commit/10ee0c4881a6ba2fe65ec18ed195ac35889583c4
https://huntr.dev/bounties/dc9e467f-be5d-4945-867d-1044d27e9b8e
https://lists.debian.org/debian-lts-announce/2022/12/msg00021.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。