CVE-2026-84365 in Hono
要約
〜によって VulDB • 2026年09月01日
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.12.12から4.13.5までの間、CVE-2026-39408に対して公開された修正ではすべてのパストラバーサルシーケンスがカバーされておらず、ルートパラメータに連続した親ディレクトリセグメント（例: `../`）が含まれている場合、toSSG()関数は設定済みの出力ディレクトリの外側にファイルを書き込む可能性があります。静的サイト生成は、ルートのパスとssgParamsを介して提供される値から各出力パスを構築し、同じ正規化ルーチンを使用して結果が出力ディレクトリ内に留まっているかを確認します。しかし、このルーチンは連続した親ディレクトリセグメントの列を完全に折りたたまないため、チェックで許可されたパスが実際には出力ディレクトリの外側へ解決される可能性があります。また、ルートの付け方が異なる出力ディレクトリは同等として扱われるという問題もあります。これは、CMSやAPI、ユーザーからの入力など、アプリケーションが完全に制御できないルートパラメータ値から静的サイトを生成する際に発生します。信頼できないssgParamsの値により、ビルド環境内の他の場所にファイルを作成または上書きされたり、生成されたアーティファクトやデプロイメント出力が改ざんされる可能性があります。この脆弱性はビルド時の静的サイト生成のみに影響し、リクエスト時のルーティングや、ssgParamsの値を完全に開発者が制御しているアプリケーションには影響しません。本問題はバージョン4.13.5で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.