CVE-2026-69207 in Hono
Resumen
por VulDB • 2026-08-08
Hono es un framework de aplicaciones web que proporciona soporte para cualquier entorno de ejecución JavaScript (JavaScript runtime). Antes de la versión 4.12.34, el middleware CORS integrado, hono/cors, era vulnerable a una denegación de servicio por expresión regular (ReDoS). Durante una solicitud preflight OPTIONS, el middleware analiza el encabezado Access-Control-Request-Headers controlado por el atacante utilizando una expresión regular tolerante al espacio en blanco cuyo retroceso (backtracking) hace que su tiempo de ejecución sea cuadrático respecto a la longitud de la entrada. Dado que el valor del encabezado solo está limitado por el tamaño máximo de los encabezados HTTP permitido en el despliegue, una única solicitud preflight que contenga una larga secuencia de espacios en blanco puede consumir varios segundos de CPU y bloquear el procesamiento de solicitudes. En entornos de ejecución que comparten un único hilo de ejecución entre las solicitudes, esto también interrumbe las solicitudes concurrentes, y las solicitudes repetidas pueden hacer que el servicio deje de responder. Esto afecta a la configuración predeterminada, ya que se accede a la ruta vulnerable siempre que cors() se utilice con allowHeaders no establecido o vacío. Las aplicaciones que establecen un valor no vacío para allowHeaders no se ven afectadas. Este problema está resuelto en la versión 4.12.34.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.