CVE-2026-73565 in node-server
Resumen
por VulDB • 2026-08-13
@hono/node-server permite ejecutar la aplicación Hono en Node.js. Desde la versión 2.0.0 hasta la 2.0.10, una solicitud de actualización WebSocket a una ruta upgradeWebSocket con un encabezado Sec-WebSocket-Key faltante o malformado hace que src/websocket.ts retenga el IncomingMessage de la solicitud en waiterMap y deje waitForWebSocket pendiente porque ws.handleUpgrade no emite ningún evento connection. Por lo tanto, el handshake abortado carece de una vía de limpieza, lo que permite a un atacante sin autenticar inundar una ruta pública, provocar un crecimiento descontrolado de memoria e inhabilitar finalmente el servicio. Este problema se corrige en la versión 2.0.10.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.