CVE-2026-71850 in Hono
요약
\~에 의해 VulDB • 2026. 08. 07.
Hono는 모든 JavaScript 런타임을 지원하도록 설계된 웹 애플리케이션 프레임워크입니다. 버전 3.8.0부터 4.12.33까지 hono/jsx의 memo() 함수는 서버 측 렌더링 결과를 유지하고, 비교자(comparator)에 의해 동일한 props가 전달되는 후속 렌더링에서 이를 재사용합니다. 그러나 컴포넌트 내부에서 읽히는 요청 스코프(request scoped) 값은 이러한 비교 과정에 포함되지 않으므로, 응답이 다른 사용자의 요청을 위해 렌더링된 HTML을 포함할 수 있습니다. memo()로 감싸진 컴포넌트는 props만으로 비교되며, JSX Context(createContext() 및 useContext()), hono/jsx-renderer의 useRequestContext(), 그리고 hono/context-storage의 getContext()와 같이 렌더링 중에 암시적으로 읽히는 값들은 비교에 참여하지 않습니다. 이로 인해 유지된 결과는 감싸진 컴포넌트의 수명 동안 지속되며, 해당 결과를 생성한 요청보다 더 긴 수명을 가집니다. 동일한 워밍(warm) 인스턴스에서 두 사용자가 동일한 props를 가진 메모이제이션(memoized) 컴포넌트를 렌더링할 경우, 한 사용자는 다른 사용자를 위해 렌더링된 HTML을 포함하는 응답을 받을 수 있습니다. 이는 다른 사용자의 계정 또는 프로필 데이터를 유출하거나, CSRF 토큰과 같은 HTML에 임베드된 요청 스코프 시크릿(secrets)을 노출시키거나, 권한이 없는 사용자가 특정 역할(role-specific) 콘텐츠에 접근할 수 있게 할 위험이 있습니다. 이 문제는 버전 4.12.34에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.