CVE-2026-69207 in Hono
Tóm tắt
Bởi VulDB • 08/08/2026
Hono là một khung ứng dụng Web cung cấp hỗ trợ cho bất kỳ môi trường chạy JavaScript nào. Trước phiên bản 4.12.34, middleware CORS tích hợp sẵn hono/cors dễ bị tổn thương do lỗ hổng từ chối dịch vụ dựa trên biểu thức chính quy (ReDoS). Trong yêu cầu preflight OPTIONS, middleware phân bổ tiêu đề Access-Control-Request-Headers do kẻ tấn công kiểm soát bằng một biểu thức chính quy chịu khoảng trắng, trong đó cơ chế backtracking khiến thời gian chạy tăng theo bậc hai so với độ dài đầu vào. Vì giá trị của tiêu đề này chỉ bị giới hạn bởi kích thước tối đa của header HTTP cho phép triển khai, một yêu cầu preflight duy nhất chứa một chuỗi ký tự khoảng trắng dài có thể chiếm dụng vài giây CPU và chặn việc xử lý các yêu cầu khác. Trên các môi trường chạy chia sẻ một luồng thực thi trên nhiều yêu cầu, điều này cũng làm tắc nghẽn các yêu cầu đồng thời, và các yêu cầu lặp lại có thể khiến dịch vụ không phản hồi. Cấu hình mặc định bị ảnh hưởng vì đường dẫn dễ bị tổn thương được kích hoạt bất cứ khi nào cors() được sử dụng với allowHeaders chưa được đặt hoặc trống. Các ứng dụng thiết lập allowHeaders khác rỗng thì không bị ảnh hưởng. Vấn đề này đã được khắc phục trong phiên bản 4.12.34.
If you want to get best quality of vulnerability data, you may have to visit VulDB.