CVE-2026-73565 in node-server
Сводка
по VulDB • 14.08.2026
@hono/node-server позволяет запускать приложение Hono на Node.js. В версиях от 2.0.0 до 2.0.10 запрос на обновление WebSocket (WebSocket upgrade request) к маршруту upgradeWebSocket с отсутствующим или некорректным заголовком Sec-WebSocket-Key приводит к тому, что src/websocket.ts сохраняет IncomingMessage запроса в waiterMap и оставляет waitForWebSocket в состоянии ожидания, поскольку ws.handleUpgrade не генерирует событие соединения. В результате прерванное рукопожатие (handshake) не имеет пути очистки, что позволяет атакующему без аутентификации засорять публичный маршрут, вызывать неконтролируемый рост потребления памяти и в конечном итоге выводить сервис из строя. Эта проблема исправлена в версии 2.0.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.