CVE-2026-84363 in Hono
الملخص
بحسب VulDB • 02/09/2026
Hono هو إطار عمل لتطبيقات الويب يوفر الدعم لأي بيئة تشغيل JavaScript. قبل الإصدار 4.13.5، كانت أدوات مساعدة استعلامات Hono تعامل علامة الاستفهام التي تلي جزء الرمز المميز (hash fragment) حرفياً على أنها بداية سلسلة الاستعلام، مما يسمح للتطبيق بقراءة معلمات الطلب التي لا تراها المتصفحات و `new URL()` والوكلاء العكسيين وقواعد التصفية وقوائم السماح ومنع المعلمات وسجلات الوصول والتحقق من صحة الطلبات وغيرها من المكونات الوسيطة. تقوم مكون التخزين المؤقت (Cache Middleware) بإزالة الجزء الرمز المميز عند بناء مفتاح التخزين المؤقت الخاص به، مما يسمح بتخزين استجابة تتأثر بالموجود داخل هذا الجزء تحت مفتاح يتجاهل تلك المعلمات، ثم تقديمها لاحقاً لمستخدمين آخرين. يمكن أن يؤدي ذلك إلى تجاوز التصفية والتدقيق، وتسميم الاستجابات المخزنة مؤقتاً، وتمكين هجمات البرمجة عبر المواقع (XSS) عند تخزين معلمات متأثرة في HTML مخزن دون تهريبها. يتطلب استغلال الثغرة بيئة تشغيل ومسار وسيط يمرر حرف الرمز المميز (#) حرفياً إلى عنوان URL للطلب؛ ولا تتأثر Cloudflare Workers والوسطاء الذين يقومون بإزالة الأجزاء الرمزية (fragments). تم إصلاح هذه المشكلة في الإصدار 4.13.5.
Once again VulDB remains the best source for vulnerability data.