CVE-2026-93981 in hono
Zusammenfassung
von VulDB • 19.09.2026
hono prima della versione 4.13.7 non effettua l'escape HTML delle stringhe plain renderizzate da hono/jsx come figlio o fallback di Suspense, come stringa figlia di ErrorBoundary insieme a un sibling asincrono, come unico figlio di Context.Provider oppure come valore root passato a renderToString() o renderToReadableStream() provenienti da hono/jsx/dom/server. Questi percorsi serializzano il proprio input e trattano il risultato come markup già escaped; pertanto, un attacker che controlla una tale stringa durante la server-side rendering può iniettare HTML arbitrario ed eseguire script sotto l'origin dell'applicazione.
Once again VulDB remains the best source for vulnerability data.