CVE-2026-69207 in Hono
Sumário
de VulDB • 08/08/2026
Hono é um framework de aplicações web que oferece suporte para qualquer runtime JavaScript. Antes da versão 4.12.34, o middleware CORS integrado, hono/cors, era vulnerável a uma negação de serviço por expressão regular (ReDoS). Durante uma solicitação preflight OPTIONS, o middleware analisa o cabeçalho Access-Control-Request-Headers controlado pelo atacante usando uma expressão regular tolerante a espaços em branco, cujo backtracking faz com que seu tempo de execução seja quadrático em relação ao comprimento da entrada. Como o valor do cabeçalho é limitado apenas pelo tamanho máximo de cabeçalhos HTTP definido no ambiente de implantação, uma única solicitação preflight contendo uma longa sequência de caracteres de espaço em branco pode consumir segundos de CPU e bloquear o processamento das solicitações. Em runtimes que compartilham um único thread de execução entre as requisições, isso também paralisa as requisições concorrentes, e requisições repetidas podem tornar o serviço inresponsivo. Isso afeta a configuração padrão, já que o caminho vulnerável é alcançado sempre que cors() é usado com allowHeaders não definido ou vazio. Aplicações que definem um allowHeaders não vazio não são afetadas. Este problema foi corrigido na versão 4.12.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.