CVE-2026-71848 in Hono
Tóm tắt
Bởi VulDB • 08/08/2026
Hono là một khung ứng dụng web cung cấp hỗ trợ cho bất kỳ môi trường chạy JavaScript nào. Từ phiên bản 4.12.0 đến 4.12.33, middleware languageDetector dễ bị tổn thương trước cuộc tấn công từ chối dịch vụ do độ phức tạp thuật toán (Algorithmic Complexity DoS) khi xử lý một thẻ ngôn ngữ được tạo ra đặc biệt chứa số lượng lớn các phân đoạn con được ngăn cách bằng dấu gạch ngang. Để thực hiện việc cắt ngắn thẻ ngôn ngữ theo tiến triển, hàm normalizeLanguage() gọi lặp lại parts.slice(0, i).join('-') cho mọi tiền tố có thể xảy ra, khiến tổng khối lượng xử lý chuỗi tăng lên bậc hai so với số lượng phân đoạn con. Giá trị ngôn ngữ có thể đến từ tham số truy vấn (query parameter), cookie, tiêu đề Accept-Language hoặc đường dẫn URL, tùy thuộc vào cấu hình của bộ phát hiện; và thứ tự mặc định của các bộ phát hiện cho phép kích hoạt việc phát hiện qua chuỗi truy vấn, cookie và tiêu đề, do đó các ứng dụng sử dụng languageDetector() có thể để lộ quá trình xử lý này trước các yêu cầu chưa xác thực. Một kẻ tấn công có thể liên tục gửi các yêu cầu chứa các thẻ ngôn ngữ dài với nhiều phân đoạn con được ngăn cách bằng dấu gạch ngang, gây ra việc tiêu thụ CPU quá mức và ngăn chặn việc xử lý các yêu cầu không liên quan. Vấn đề này đã được sửa chữa trong phiên bản 4.12.34.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.