CVE-2026-69207 in Hono
요약
\~에 의해 VulDB • 2026. 08. 07.
Hono는 모든 JavaScript 런타임을 지원하도록 설계된 웹 애플리케이션 프레임워크입니다. 버전 4.12.34 이전의 hono/cors 내장 CORS 미들웨어에는 정규식 서비스 거부(ReDoS) 취약점이 존재합니다. 프리플라이트 OPTIONS 요청 중, 이 미들웨어는 공백 허용(regular expression with whitespace tolerance)을 특징으로 하는 정규식을 사용하여 공격자가 제어할 수 있는 Access-Control-Request-Headers 헤더를 파싱하며, 이로 인해 백트래킹이 발생하여 실행 시간이 입력 길이에 대해 2차(quadratic)적으로 증가합니다. 헤더 값은 배포 환경의 최대 HTTP 헤더 크기로만 제한되므로, 긴 공백 시퀀스를 포함하는 단일 프리플라이트 요청이라도 수 초 동안 CPU를 소모하고 요청 처리를 차단할 수 있습니다. 하나의 실행 스레드를 여러 요청 간에 공유하는 런타임에서는 동시 요청도 중단되며, 반복적인 요청은 서비스의 응답 불가 상태를 유발할 수 있습니다. 이 취약점은 cors() 함수가 비어 있거나 설정되지 않은 allowHeaders와 함께 사용될 때 도달 가능한 기본 구성에서 영향을 받습니다. non-empty한 allowHeaders를 명시적으로 설정한 애플리케이션에는 영향이 없습니다. 해당 문제는 버전 4.12.34에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.