CVE-2026-71848 in Hono
Resumen
por VulDB • 2026-08-07
Hono es un framework de aplicaciones web que proporciona soporte para cualquier entorno de ejecución JavaScript. Desde la versión 4.12.0 hasta la 4.12.33, el middleware languageDetector es vulnerable a una denegación de servicio por complejidad algorítmica al procesar una etiqueta de idioma manipulada (crafted) que contiene un gran número de subetiquetas separadas por guiones. Para implementar la truncamiento progresivo de etiquetas de idioma, normalizeLanguage() llama repetidamente a parts.slice(0, i).join('-') para cada posible prefijo, por lo que la cantidad total de procesamiento de cadenas crece cuadráticamente con el número de subetiquetas. Los valores del idioma pueden provenir de un parámetro de consulta (query parameter), una cookie, el encabezado Accept-Language o la ruta URL, dependiendo de la configuración del detector; y el orden predeterminado del detector habilita la detección mediante cadena de consulta, cookies e encabezados, por lo que las aplicaciones que utilizan languageDetector() pueden exponer este procesamiento a solicitudes no autenticadas. Un atacante puede enviar repetidamente solicitudes que contengan etiquetas de idioma largas con subetiquetas separadas por guiones, provocando un consumo excesivo de CPU y evitando el procesamiento de solicitudes no relacionadas. Este problema se corrige en la versión 4.12.34.
If you want to get best quality of vulnerability data, you may have to visit VulDB.