CVE-2026-71848 in Hono
要約
〜によって VulDB • 2026年08月07日
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.12.0から4.12.33にかけて、languageDetectorミドルウェアには、ハイフンで区切られたサブタグを多数含む偽造された言語タグの処理時にアルゴリズム的複雑性によるサービス妨害（DoS）の脆弱性が存在します。進捗的な言語タグの切り捨てを実装するため、normalizeLanguage()関数は可能なすべてのプレフィックスに対してparts.slice(0, i).join('-')を繰り返し呼び出すため、文字列処理の総量はサブタグの数に応じて二次関数的に増加します。言語値は、検出器の設定 depending に、クエリパラメータ、Cookie、Accept-Languageヘッダー、またはURLパスから取得される可能性があります。デフォルトの検出順序ではクエリストリング、Cookie、およびヘッダーでの検出が有効化されているため、languageDetector()を使用するアプリケーションは、この処理を認証されていないリクエストに対して公開する可能性があります。攻撃者は、長いハイフン区切りの言語タグを含むリクエストを繰り返し送信することで、過剰なCPU消費を引き起こし、無関係なリクエストの処理を防ぐことができます。本問題はバージョン4.12.34で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.