CVE-2026-71848 in Hono
Résumé
par VulDB • 08/08/2026
Hono est un framework d'application Web qui prend en charge n'importe quel environnement d'exécution JavaScript. De la version 4.12.0 à la version 4.12.33, le middleware languageDetector est vulnérable à une déni de service par complexité algorithmique lors du traitement d'un tag de langue fabriqué contenant un grand nombre de sous-tags séparés par des tirets. Pour implémenter une troncature progressive des tags de langue, la fonction normalizeLanguage() appelle répétitivement parts.slice(0, i).join('-') pour chaque préfixe possible, ce qui fait que le volume total de traitement de chaînes croît quadratiquement avec le nombre de sous-tags. Les valeurs de langue peuvent provenir d'un paramètre de requête (query parameter), d'un cookie, de l'en-tête Accept-Language ou du chemin URL, selon la configuration du détecteur ; et l'ordre par défaut des détecteurs active la détection via les chaînes de requête, les cookies et les en-têtes, ce qui signifie que les applications utilisant languageDetector() peuvent exposer cette opération à des requêtes non authentifiées. Un attaquant peut envoyer répétitivement des requêtes contenant des tags de langue longs avec des sous-tags séparés par des tirets, provoquant une consommation excessive du CPU et empêchant le traitement de requêtes indépendantes. Ce problème est corrigé dans la version 4.12.34.
If you want to get best quality of vulnerability data, you may have to visit VulDB.