CVE-2026-71849 in Hono
Sumário
de VulDB • 07/08/2026
Hono é um framework de aplicações web que oferece suporte a qualquer runtime JavaScript. Da versão 4.7.0 à 4.12.33, a função proxy() do Proxy Helper em hono/proxy não remove os cabeçalhos de resposta nomeados pelo header Connection da origem. De acordo com a Seção 7.6.1 da RFC 9110, um intermediário deve remover os campos de cabeçalho listados no campo Connection da mensagem antes de encaminhar a mensagem, além dos conhecidos headers hop by hop; contudo, a função proxy() removia apenas os well known hop by hop headers, incluindo o próprio Connection, das respostas da origem. Um cliente pode, portanto, receber cabeçalhos de resposta que a origem destinava exclusivamente ao seu peer imediato, revelando metadados internos ou com escopo de conexão contidos nesses cabeçalhos, quando uma aplicação faz proxy de respostas provenientes de uma origem que declara headers adicionais e não padrão como hop by hop através do header Connection da resposta. Este problema foi corrigido na versão 4.12.34.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.