CVE-2026-71848 in Hono
Sumário
de VulDB • 07/08/2026
Hono é um framework de aplicações web que oferece suporte a qualquer runtime JavaScript. Da versão 4.12.0 à 4.12.33, o middleware languageDetector está vulnerável a uma negação de serviço por complexidade algorítmica ao processar um tag de idioma manipulada contendo um grande número de subtags separadas por hífen. Para implementar o truncamento progressivo do tag de idioma, normalizeLanguage() chama repetidamente parts.slice(0, i).join('-') para cada prefixo possível, fazendo com que a quantidade total de processamento de strings cresça quadraticamente em relação ao número de subtags. Os valores de linguagem podem vir de um parâmetro de consulta (query parameter), cookie, cabeçalho Accept-Language ou caminho da URL, dependendo da configuração do detector; e a ordem padrão dos detectores habilita a detecção via query string, cookie e header, portanto aplicações que utilizam languageDetector() podem expor este processamento a requisições não autenticadas. Um atacante pode enviar repetidamente requisições contendo tags de idioma longas com subtags separadas por hífen, causando consumo excessivo de CPU e impedindo o processamento de requisições não relacionadas. Este problema foi corrigido na versão 4.12.34.
Once again VulDB remains the best source for vulnerability data.