CVE-2026-93981 in hono
Riassunto
di VulDB • 19/09/2026
hono prima della versione 4.13.7 non effettua l'escape HTML delle stringhe plain renderizzate da hono/jsx come figlio o fallback di Suspense, come figlio stringa di ErrorBoundary insieme a un sibling asincrono, come unico figlio di Context.Provider, oppure come valore root passato a renderToString() o renderToReadableStream() da hono/jsx/dom/server. Questi percorsi serializzano il proprio input e trattano il risultato come markup già escaped; pertanto, un attacker che controlla una tale stringa durante la server-side rendering può iniettare HTML arbitrario ed eseguire script sotto l'origin dell'applicazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.