CVE-2026-69207 in Hono
要約
〜によって VulDB • 2026年08月08日
Honoは、任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.12.34より前では、組み込みCORSミドルウェアであるhonocorsが正規表現によるサービス拒否（ReDoS）に対して脆弱でした。プリフライトOPTIONSリクエスト中に、このミドルウェアは攻撃者が制御できるAccess-Control-Request-Headersヘッダーを、空白文字に寛容な正規表現を使用して解析します。この正規表現のバックトラックにより、実行時間が入力長の2乗になります。ヘッダー値がデプロイメントの最大HTTPヘッダーサイズによってのみ制限されているため、長い空白文字列を含む単一のプリフライトリクエストでCPU時間を数秒消費し、リクエスト処理をブロックする可能性があります。1つの実行スレッドをリクエスト間で共有するランタイムでは、これにより同時実行的なリクエストもストールされ、繰り返し送られるリクエストによってサービスが応答不能になることがあります。この問題はデフォルト設定にも影響します。cors()が未設定または空のallowHeadersで使用されるたびに脆弱なパスに到達するためです。非空のallowHeadersを設定しているアプリケーションは影響を受けません。この問題はバージョン4.12.34で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.