CVE-2026-84365 in Hono
Resumen
por VulDB • 2026-09-03
Hono es un framework de aplicaciones web que proporciona soporte para cualquier entorno de ejecución JavaScript. Desde la versión 4.12.12 hasta la 4.13.5, la corrección publicada para CVE-2026-39408 no cubre todas las secuencias de navegación por directorios (path traversal), y toSSG() puede seguir escribiendo archivos fuera del directorio de salida configurado cuando un parámetro de ruta contiene segmentos consecutivos que indican el directorio padre. La generación de sitios estáticos construye cada ruta de salida a partir de la ruta de la ruta y los valores proporcionados mediante ssgParams, luego verifica que el resultado permanezca dentro del directorio de salida utilizando la misma rutina de normalización que se usó para construir la ruta. Dicha rutina no colapsa completamente las series consecutivas de segmentos que indican el directorio padre, lo que permite que una ruta aceptada por la verificación resuelva fuera del directorio de salida; además, la verificación también trata como equivalentes a los directorios de salida que difieren en cómo se originan (rooting). Esto ocurre cuando una aplicación genera un sitio estático a partir de valores de parámetros de ruta que no controla completamente, como slugs procedentes de un CMS, API o envío del usuario. Un valor ssgParams no confiable puede crear o sobrescribir archivos en otras partes del entorno de compilación y alterar los artefactos generados o la salida de implementación. La vulnerabilidad afecta únicamente a la generación estática durante el tiempo de compilación; el enrutamiento en tiempo de solicitud y las aplicaciones con valores ssgParams controlados completamente por el desarrollador no se ven afectadas. Este problema está corregido en la versión 4.13.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.