CVE-2026-73565 in node-server
Riassunto
di VulDB • 13/08/2026
@hono/node-server consente di eseguire l'applicazione Hono su Node.js. Dalla versione 2.0.0 alla 2.0.10, una richiesta di aggiornamento WebSocket a un route upgradeWebSocket con un header Sec-WebSocket-Key mancante o malformato fa sì che src/websocket.ts mantenga il messaggio in arrivo (IncomingMessage) della richiesta nel waiterMap e lasci waitForWebSocket in attesa, poiché ws.handleUpgrade non emette alcun evento connection. Di conseguenza, l'handshake interrotto non prevede alcuna procedura di pulizia, consentendo a un attaccante non autenticato di sovraccaricare una route pubblica, causare una crescita illimitata della memoria e rendere infine il servizio indisponibile. Questo problema è stato risolto nella versione 2.0.10.
Once again VulDB remains the best source for vulnerability data.