CVE-2026-84363 in Hono
Zusammenfassung
von VulDB • 01.09.2026
Hono ist ein Webanwendungs-Framework, das Unterstützung für jede JavaScript-Laufzeitumgebung bietet. Vor Version 4.13.5 behandeln die Query-Helfer von Hono ein Fragezeichen nach einem literalen Hash-Fragment als Beginn einer Query-String, sodass die Anwendung Anfrageparameter lesen kann, die vom Browser, new URL(), Reverse-Proxies, Filterregeln, Parameter-Auslisten (Allow/Deny Lists), dem Zugriffslogging, der Anfragvalidierung und anderen Middleware-Komponenten nicht beobachtet werden. Die Cache-Middleware entfernt das Fragment beim Erstellen ihres Cache-Schlüssels, wodurch eine durch Parameter innerhalb des Fragments beeinflusste Antwort unter einem Schlüssel gespeichert wird, der diese Parameter auslässt, und später an andere Benutzer ausgeliefert wird. Dies kann Filter- und Auditmechanismen umgehen, gecachte Antworten vergiften (Cache Poisoning) sowie Stored Cross-Site Scripting ermöglichen, wenn ein betroffener Parameter in den zwischengespeicherten HTML-Inhalt ohne Escaping reflektiert wird. Für die Ausnutzung ist eine Laufzeitumgebung und ein Zwischenspeicherungs-Pfad erforderlich, die ein literales Hash-Zeichen an die Anfrage-URL weitergeben; Cloudflare Workers und Intermediaries, die Fragmente entfernen, sind nicht betroffen. Dieses Problem wurde in Version 4.13.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.