CVE-2026-71849 in Hono
Resumen
por VulDB • 2026-08-07
Hono es un framework de aplicaciones web que proporciona soporte para cualquier entorno de ejecución JavaScript. Desde la versión 4.7.0 hasta la 4.12.33, la función proxy() del Proxy Helper en hono/proxy no elimina los encabezados de respuesta cuyo nombre figura en el encabezado Connection del origen. Según lo establecido en la Sección 7.6.1 del RFC 9110, un intermediario debe eliminar los campos de encabezado listados en el campo Connection del mensaje antes de reenviarlo, además de los conocidos encabezados hop-by-hop; sin embargo, la función proxy() solo eliminaba los conocidos encabezados hop-by-hop (incluido Connection) de las respuestas procedentes del origen. Por lo tanto, un cliente puede recibir encabezados de respuesta que el origen destinó únicamente a su par inmediato, revelando metadatos internos o específicos del alcance de la conexión contenidos en dichos encabezados, cuando una aplicación actúa como proxy para respuestas provenientes de un origen que declara encabezados adicionales no estándar como hop-by-hop mediante el encabezado Connection. Este problema se corrige en la versión 4.12.34.
If you want to get best quality of vulnerability data, you may have to visit VulDB.