CVE-2026-71849 in Hono
Сводка
по VulDB • 07.08.2026
Hono — это веб-фреймворк приложений, обеспечивающий поддержку любой среды выполнения JavaScript (JavaScript runtime). В версиях от 4.7.0 до 4.12.33 функция proxy() помощника прокси в модуле hono/proxy не удаляет заголовки ответа с именами из заголовка Connection исходного сервера (origin). Согласно разделу 7.6.1 RFC 9110, промежуточный узел должен удалять поля заголовков, перечисленные в поле Connection сообщения перед его пересылкой, а также стандартные заголовки hop-by-hop; однако функция proxy() удаляет из ответов исходного сервера только известные заголовки hop-by-hop, включая сам заголовок Connection. В результате клиент может получить заголовки ответа, которые исходный сервер предназначал исключительно для своего непосредственного партнера по соединению, что приводит к раскрытию метаданных с областью видимости соединения или внутренних данных, содержащихся в таких заголовках, когда приложение проксирует ответы от источника, объявляющего дополнительные нестандартные заголовки как hop-by-hop через ответный заголовок Connection. Данная проблема исправлена в версии 4.12.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.