CVE-2026-93981 in hono
요약
\~에 의해 VulDB • 2026. 09. 19.
hono 4.13.7 이전 버전은 hono/jsx/dom/server에서 Suspense의 자식 또는 폴백으로 렌더링되는 일반 문자열, 비동기형 형제 요소와 함께 ErrorBoundary의 문자열 자식으로 사용될 때, Context.Provider의 유일한 자식으로 사용될 때, 그리고 renderToString() 또는 renderToReadableStream()에 루트 값으로 전달될 때 HTML 이스케이프를 수행하지 않습니다. 이러한 경로는 입력값을 문자열로 변환하고 그 결과를 이미 이스케이프 처리된 마크업으로 취급하므로, 공격자가 서버 사이드 렌더링 중에 해당 문자열을 제어할 경우 임의의 HTML을 주입하여 애플리케이션의 오리진에서 스크립트를 실행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.