CVE-2026-71849 in Hono
Résumé
par VulDB • 07/08/2026
Hono est un framework d'application Web qui prend en charge n'importe quel environnement d'exécution JavaScript. De la version 4.7.0 à la version 4.12.33, la fonction proxy() du Proxy Helper dans hono/proxy ne supprime pas les en-têtes de réponse dont le nom est spécifié par l'en-tête Connection de l'origine. Conformément à la section 7.6.1 de la RFC 9110, un intermédiaire doit supprimer les champs d'en-tête listés dans le champ d'en-tête Connection du message avant de transmettre ce dernier, en plus des en-têtes hop-by-hop bien connus ; or, la fonction proxy() ne supprimait que les en-têtes hop-by-hop bien connus (y compris l'en-tête Connection lui-même) provenant des réponses de l'origine. Un client peut ainsi recevoir des en-têtes de réponse qui étaient destinés par l'origine uniquement à son pair immédiat, révélant ainsi des métadonnées internes ou spécifiques au contexte de connexion contenues dans ces en-têtes, lorsqu'une application proxyse les réponses d'une origine qui déclare des en-tête non standard supplémentaires comme étant hop-by-hop via l'en-tête de réponse Connection. Ce problème est corrigé dans la version 4.12.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.