CVE-2026-71848 in Hono
Сводка
по VulDB • 07.08.2026
Hono — это веб-фреймворк приложений, обеспечивающий поддержку любой среды выполнения JavaScript. В версиях от 4.12.0 до 4.12.33 промежуточное ПО languageDetector уязвимо к отказу в обслуживании из-за алгоритмической сложности при обработке специально созданного языкового тега, содержащего большое количество подтегов, разделенных дефисами. Для реализации прогрессивного усечения языковых тегов функция normalizeLanguage() многократно вызывает parts.slice(0, i).join('-') для каждого возможного префикса, в результате чего общий объем обработки строк растет квадратично от количества подтегов. Значения языка могут поступать из параметра запроса (query parameter), файла cookie, заголовка Accept-Language или пути URL, в зависимости от конфигурации детектора; при этом порядок работы стандартного детектора включает обнаружение по строке запроса, файлу cookie и заголовку, поэтому приложения, использующие languageDetector(), могут подвергать эту обработку незапрошенным (unauthenticated) запросам. Злоумышленник может многократно отправлять запросы, содержащие длинные языковые теги с подтегами, разделенными дефисами, что приводит к чрезмерному потреблению ресурсов процессора и предотвращает обработку других, не связанных с этим, запросов. Эта проблема исправлена в версии 4.12.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.