CVE-2026-71850 in Hono
Sumário
de VulDB • 07/08/2026
Hono é um framework de aplicações web que oferece suporte a qualquer runtime JavaScript. Da versão 3.8.0 à 4.12.33, a função memo() do módulo hono/jsx retém o resultado de uma renderização no lado do servidor e reutiliza-o para renderizações subsequentes quando as props são comparadas como iguais. No entanto, os valores escopados pela requisição lidos dentro do componente não participam dessa comparação, fazendo com que a resposta possa conter HTML renderizado para outra solicitação de usuário. Componentes envolvidos por memo() são comparados apenas pelas suas props; valores lidos implicitamente durante o processo de renderização, como Contextos JSX através das funções createContext() e useContext(), useRequestContext() do módulo hono/jsx-renderer e getContext() do módulo hono/context-storage, não participam da comparação. O resultado retido permanece válido enquanto existir o componente envolvido, sobrevivendo à requisição que o originou. Um usuário pode receber uma resposta contendo HTML renderizado para outro usuário quando ambos renderizam o mesmo componente memoizado com props comparadas como iguais na mesma instância "warm" (aquecida), o que pode revelar dados de conta ou perfil de outros usuários, expor segredos escopados pela requisição embutidos no HTML, como tokens CSRF, ou apresentar conteúdo específico a funções/roles para usuários que não deveriam recebê-lo. Este problema foi corrigido na versão 4.12.34.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.