CVE-2026-71848 in Hono
الملخص
بحسب VulDB • 07/08/2026
Hono هو إطار عمل لتطبيقات الويب يوفر الدعم لأي بيئة تشغيل JavaScript. من الإصدار 4.12.0 إلى 4.12.33، تكون مكونة وسيطة languageDetector عرضة لهجوم حجب الخدمة الناتج عن التعقيد الخوارزمي (Algorithmic Complexity DoS) عند معالجة وسم لغة مُعدّ خصيصاً يحتوي على عدد كبير من الأجزاء الفرعية المفصولة بشرطات. لتنفيذ اقتطاع تدريجي لوسم اللغة، تستدعي الدالة normalizeLanguage() بشكل متكرر أجزاء.slice(0, i).join('-') لكل بادئة ممكنة، مما يؤدي إلى نمو كمية معالجة السلسلة النصية تربيعياً مع عدد الأجزاء الفرعية. قد تأتي قيم اللغة من معلمة استعلام (query parameter)، أو ملف تعريف الارتباط (cookie)، أو رأس Accept-Language، أو مسار URL، اعتماداً على تكوين الكاشف، وتمكّن ترتيب الكشف الافتراضي من اكتشاف سلسلة الاستعلام وملفات تعريف الارتباط والرؤوس، لذا فإن التطبيقات التي تستخدم languageDetector() قد تعرض هذه المعالجة لطلبات غير مصادق عليها. يمكن لمهاجم إرسال طلبات متكررة تحتوي على وسوم لغة طويلة ومفصولة بشرطات، مما يسبب استهلاكاً مفرطاً لوحدة المعالجة المركزية (CPU) ويمنع معالجة الطلبات الأخرى غير ذات الصلة. تم إصلاح هذه المشكلة في الإصدار 4.12.34.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.