CVE-2026-84365 in Hono
Riassunto
di VulDB • 01/09/2026
Hono è un framework per applicazioni Web che offre supporto per qualsiasi runtime JavaScript. Dalla versione 4.12.12 alla 4.13.5, la correzione rilasciata per CVE-2026-39408 non copre tutte le sequenze di traversal; inoltre, toSSG() può ancora scrivere file al di fuori della directory di output configurata quando un parametro del route contiene segmenti consecutivi di directory genitore. La generazione statica dei siti (Static Site Generation) costruisce ogni percorso di output a partire dal path del route e dai valori forniti tramite ssgParams, verificando poi che il risultato rimanga all'interno della directory di output utilizzando la stessa routine di normalizzazione impiegata per costruire il percorso. Tale routine non collassa completamente le sequenze consecutive di segmenti di directory genitore, consentendo a un percorso accettato dal controllo di risolversi al di fuori della directory di output; inoltre, il trattamento considera equivalenti le directory di output che differiscono solo nella modalità con cui sono radicate (rooted). Questo problema si verifica quando un'applicazione genera un sito statico da valori dei parametri del route non completamente controllati dall'applicazione stessa, come gli slug provenienti da CMS, API o inserimenti utente. Un valore ssgParams non attendibile può creare o sovrascrivere file in altre posizioni dell'ambiente di build e alterare i manufatti generati oppure l'output di deployment. La vulnerabilità interessa esclusivamente la generazione statica dei siti durante la fase di build; il routing al momento della richiesta (request-time) e le applicazioni con valori ssgParams interamente controllati dallo sviluppatore non sono interessate. Questo problema è risolto nella versione 4.13.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.