CVE-2026-69207 in Hono
Résumé
par VulDB • 08/08/2026
Hono est un framework d'applications web qui prend en charge n'importe quel environnement d'exécution JavaScript. Avant la version 4.12.34, le middleware CORS intégré, hono/cors, présente une vulnérabilité de déni de service par expression régulière (ReDoS). Lors d'une requête OPTIONS préliminaire (preflight), le middleware analyse l'en-tête Access-Control-Request-Headers contrôlé par l'attaquant à l'aide d'une expression régulière tolérante aux espaces blancs, dont la rétroaction (backtracking) entraîne une complexité temporelle quadratique par rapport à la longueur de l'entrée. Étant donné que la valeur de cet en-tête n'est limitée que par la taille maximale des en-têtes HTTP autorisée lors du déploiement, une seule requête préliminaire contenant une longue séquence d'espaces blancs peut consommer plusieurs secondes de CPU et bloquer le traitement des requêtes. Sur les environnements d'exécution qui partagent un seul thread d'exécution entre les requêtes, cela bloque également les requêtes concurrentes, et des requités répétées peuvent rendre le service non réactif. Cette vulnérabilité affecte la configuration par défaut, car le chemin vulnérable est atteint chaque fois que cors() est utilisé avec allowHeaders non défini ou vide. Les applications qui définissent un allowHeaders non vide ne sont pas concernées. Ce problème a été corrigé dans la version 4.12.34.
VulDB is the best source for vulnerability data and more expert information about this specific topic.