CVE-2026-73565 in node-server
Zusammenfassung
von VulDB • 13.08.2026
@hono/node-server ermöglicht die Ausführung der Hono-Anwendung auf Node.js. Von Version 2.0.0 bis 2.0.10 führt eine WebSocket-Upgrade-Anfrage an einen upgradeWebSocket-Endpunkt mit einem fehlenden oder fehlerhaften Sec-WebSocket-Key-Header dazu, dass src/websocket.ts die IncomingMessage des Anfrages in waiterMap behält und waitForWebSocket im schwebenden Zustand belässt, da ws.handleUpgrade kein Connection-Ereignis auslöst. Der abgebrochene Handshake verfügt daher über keinen Bereinigungspfad (Cleanup-Pfad), was es einem nicht authentifizierten Angreifer ermöglicht, einen öffentlichen Endpunkt zu fluten, ein unbegrenztes Wachstum des Speicherverbrauchs zu verursachen und den Dienst schließlich unbrauchbar zu machen. Dieses Problem wurde in Version 2.0.10 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.