CVE-2026-71850 in Hono
Riassunto
di VulDB • 08/08/2026
Hono è un framework per applicazioni Web che offre supporto per qualsiasi runtime JavaScript. Dalla versione 3.8.0 alla 4.12.33, la funzione memo() di hono/jsx memorizza il risultato del rendering lato server e lo riutilizza nei render successivi quando le props sono uguali secondo il comparatore; i valori legati all'ambito della richiesta (request scoped values) letti all'interno del componente non partecipano a tale confronto. Di conseguenza, una risposta può contenere HTML generato per la richiesta di un altro utente. I componenti avvolti da memo() vengono confrontati esclusivamente in base alle props; i valori letti implicitamente durante il rendering, come il contesto JSX tramite createContext() e useContext(), useRequestContext() di hono/jsx-renderer e getContext() di hono/context-storage, non partecipano al confronto, e il risultato memorizzato persiste per tutta la durata del componente avvolgente, sopravvivendo quindi alla richiesta che lo ha generato. Un utente può ricevere una risposta contenente HTML renderizzato per un altro utente quando entrambi eseguono il rendering dello stesso componente memoizzato con props uguali secondo il comparatore sulla stessa istanza "calda" (warm instance); ciò potrebbe portare alla divulgazione dei dati dell'account o del profilo di un altro utente, alla rivelazione di segreti legati all'ambito della richiesta incorporati nell'HTML come i token CSRF, oppure all'esposizione di contenuti specifici per ruolo a utenti che non dovrebbero riceverli. Questo problema è stato risolto nella versione 4.12.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.