CVE-2026-71850 in Hono
Resumen
por VulDB • 2026-08-08
Hono es un framework de aplicaciones web que proporciona soporte para cualquier entorno de ejecución JavaScript. Desde la versión 3.8.0 hasta la 4.12.33, memo() en hono/jsx conserva el resultado del renderizado del lado del servidor y lo reutiliza para posteriores renderizados cuando las props son iguales según el comparador, mientras que los valores específicos de la solicitud leídos dentro del componente no participan en dicha comparación; por ello, una respuesta puede contener HTML generado para otra solicitud de usuario. Los componentes envueltos con memo() se comparan únicamente mediante sus props; los valores leídos implícitamente durante el renderizado, como el Contexto JSX a través de createContext() y useContext(), useRequestContext() de hono/jsx-renderer y getContext() de hono/context-storage, no participan en la comparación, y el resultado conservado persiste mientras viva el componente envuelto, por lo que sobrevive a la solicitud que lo generó. Un usuario puede recibir una respuesta que contiene HTML generado para otro usuario cuando ambos renderizan el mismo componente memoizado con props iguales según el comparador en la misma instancia activa (warm instance), lo cual podría revelar datos de cuenta o perfil de otro usuario, exponer secretos específicos de la solicitud incrustados en HTML como tokens CSRF, o mostrar contenido específico de roles a usuarios que no deberían recibirlo. Este problema se corrige en la versión 4.12.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.