CVE-2026-84363 in Hono
요약
\~에 의해 VulDB • 2026. 09. 02.
Hono는 모든 JavaScript 런타임을 지원하도록 설계된 웹 애플리케이션 프레임워크입니다. 버전 4.13.5 이전의 Hono에서는 쿼리 헬퍼가 리터럴 해시 프래그먼트(예: `#`) 뒤에 오는 물음표(`?`)를 쿼리 문자열의 시작으로 처리합니다. 이로 인해 브라우저, `new URL()`, 역방향 프록시, 필터링 규칙, 파라미터 허용/거부 목록, 접근 로깅, 요청 검증 및 기타 미들웨어가 인식하지 못하는 요청 파라미터에 애플리케이션이 접근할 수 있습니다. Cache Middleware는 캐시 키를 생성할 때 프래그먼트를 제거하므로, 프래그먼트 내부의 파라미터에 의해 영향을 받는 응답이 해당 파라미터를 생략한 키로 저장되어 다른 사용자에게 제공될 수 있습니다. 이를 통해 필터링 및 감사 기능을 우회하고, 캐시된 응답을 오염시키며, 영향받는 파라미터가 이스케이프 없이 캐시된 HTML 내에 반영되는 경우 스토리드 크로스 사이트 스cripting(XSS)이 가능해집니다. 이 취약점을 악용하려면 리터럴 해시 문자를 요청 URL에 전달하는 런타임 및 중간 경로의 경로가 필요합니다. Cloudflare Workers와 프래그먼트를 제거하는 기타 인터미디어리는 영향을 받지 않습니다. 본 문제는 버전 4.13.5에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.