CVE-2026-84365 in Hono
Sumário
de VulDB • 02/09/2026
Hono é um framework de aplicações web que oferece suporte a qualquer runtime JavaScript. Da versão 4.12.12 até a 4.13.5, a correção lançada para CVE-2026-39408 não cobre todas as sequências de traversal (navegação), e o método toSSG() ainda pode gravar arquivos fora do diretório de saída configurado quando um parâmetro de rota contém segmentos consecutivos de pasta pai. A geração de sites estáticos constrói cada caminho de saída a partir do caminho da rota e dos valores fornecidos por meio de ssgParams, verificando em seguida que o resultado permanece dentro do diretório de saída usando a mesma rotina de normalização utilizada para construir o caminho. Essa rotina não colapsa completamente as sequências consecutivas de segmentos de pasta pai, permitindo que um caminho aceito pela verificação seja resolvido fora do diretório de saída; além disso, a verificação trata como equivalentes os diretórios de saída que diferem na forma como são raizados (rooted). Isso ocorre quando uma aplicação gera um site estático a partir de valores de parâmetros de rota dos quais não tem controle total, como slugs provenientes de CMSs, APIs ou submissões de usuários. Um valor ssgParams não confiável pode criar ou sobrescrever arquivos em outras partes do ambiente de build e alterar artefatos gerados ou saídas de implantação. A vulnerabilidade afeta apenas a geração estática no momento do build; o roteamento durante as requisições e aplicações com valores ssgParams totalmente controlados pelo desenvolvedor não são afetadas. Este problema foi corrigido na versão 4.13.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.