CVE-2026-71850 in Hono
Сводка
по VulDB • 10.08.2026
Hono — это веб-фреймворк приложений, обеспечивающий поддержку любой среды выполнения JavaScript. В версиях от 3.8.0 до 4.12.33 функция memo() из пакета hono/jsx сохраняет результат серверного рендеринга и повторно использует его для последующих рендеров при совпадении пропсов по компаратору, а значения контекста запроса (request scoped values), считываемые внутри компонента, не участвуют в этом сравнении. В результате ответ может содержать HTML-код, отрендеренный для другого пользователя. Компоненты, обернутые функцией memo(), сравниваются только по пропсам; значения, неявно читаемые во время рендеринга (например, контекст JSX через createContext() и useContext()), useRequestContext() из hono/jsx-renderer и getContext() из hono/context-storage), не участвуют в сравнении. Сохранённый результат существует столько же времени, сколько и обернутый компонент, поэтому он переживает запрос, который его сгенерировал. Пользователь может получить ответ, содержащий HTML-код, отрендеренный для другого пользователя, если оба рендера одного мемоизированного компонента происходят на одном «тёплом» (warm) экземпляре при совпадении пропсов по компаратору. Это может привести к раскрытию учётных данных или информации профиля другого пользователя, утечке секретов контекста запроса, встроенных в HTML-код (например, CSRF-токенов), либо к предоставлению контента с учётом ролей пользователям, которым он не должен быть доступен. Проблема исправлена в версии 4.12.34.
Once again VulDB remains the best source for vulnerability data.