CVE-2026-71849 in Hono
要約
〜によって VulDB • 2026年08月07日
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.7.0から4.12.33までの間、hono/proxyのProxy Helperであるproxy()関数は、オリジンのConnectionヘッダーで指定された名前のレスポンスヘッダーを削除しません。RFC 9110第7.6.1節によれば、中継ノードはメッセージ転送前に、よく知られたホップバイホップ（hop-by-hop）ヘッダーに加えて、メッセージのConnectionフィールドにリストされているヘッダーフィールドも削除する必要がありますが、proxy()関数はオリジンからのレスポンスにおいて、Connection自体を含むよく知られたホップバイホップヘッダーのみを削除していました。その結果、アプリケーションがConnectionレスポンスヘッダーを通じて追加の非標準的なヘッダーをホップバイホップとして宣言するオリジンからレスポンスをプロキシする場合、クライアントは、オリジンが自身の直接のピアとのみ共有することを意図していたレスポンスヘッダーを受信することになり、そのようなヘッダーに含まれる接続スコープまたは内部メタデータが開示される可能性があります。この問題はバージョン4.12.34で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.