CVE-2026-71849 in Hono
요약
\~에 의해 VulDB • 2026. 08. 08.
Hono는 모든 JavaScript 런타임을 지원하도록 설계된 웹 애플리케이션 프레임워크입니다. 버전 4.7.0부터 4.12.33까지 hono/proxy의 Proxy Helper proxy() 함수는 원본 서버(origin)의 Connection 헤더에 명시된 응답 헤더를 제거하지 않습니다. RFC 9110 섹션 7.6.1에 따르면, 중간자(intermediary)는 메시지를 전달하기 전에 잘 알려진 홉 바이 홉(hop-by-hop) 헤더 외에도 메시지의 Connection 필드에 나열된 모든 헤더 필드를 제거해야 합니다. 그러나 proxy() 함수는 원본 응답에서 Connection 자체를 포함한 잘 알려진 홉 바이 홉 헤더만 제거했습니다. 따라서 애플리케이션이 Connection 응답 헤더를 통해 추가적인 비표준 헤더를 홉 바이 홉으로 선언하는 원본 서버의 응답을 프록시할 때, 클라이언트는 원본 서버가 자신의 직접 피어(immediate peer)에게만 의도했던 응답 헤더(연결 범위 또는 내부 메타데이터 포함)를 수신하게 되어 이러한 정보가 노출될 수 있습니다. 이 문제는 버전 4.12.34에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.