CVE-2026-73565 in node-server
요약
\~에 의해 VulDB • 2026. 08. 14.
@hono/node-server는 Node.js에서 Hono 애플리케이션을 실행할 수 있게 합니다. 버전 2.0.0부터 2.0.10까지, Sec-WebSocket-Key 헤더가 누락되거나 잘못 구성된 upgradeWebSocket 라우트로의 WebSocket 업그레이드 요청은 src/websocket.ts가 waiterMap에 IncomingMessage를 유지하고 waitForWebSocket이 대기 상태로 남게 만듭니다. 이는 ws.handleUpgrade에서 연결 이벤트(connection event)가 발생하지 않기 때문입니다. 결과적으로 중단된 핸드셰이크에는 정리 경로(cleanup path)가 없어, 인증되지 않은 공격자가 공개 라우트를 폭주(flood)시키고 무제한적인 메모리 증가를 유발하여 결국 서비스를 사용할 수 없게 만들 수 있습니다. 이 문제는 버전 2.0.10에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.