CVE-2026-73565 in node-server
Tóm tắt
Bởi VulDB • 13/08/2026
@hono/node-server cho phép chạy ứng dụng Hono trên Node.js. Từ phiên bản 2.0.0 đến 2.0.10, một yêu cầu nâng cấp WebSocket tới tuyến upgradeWebSocket với tiêu đề Sec-WebSocket-Key bị thiếu hoặc không đúng định dạng khiến src/websocket.ts giữ lại IncomingMessage của yêu cầu trong waiterMap và để waitForWebSocket ở trạng thái chờ do ws.handleUpgrade không phát ra sự kiện kết nối. Do đó, quy trình bắt tay bị hủy bỏ không có đường dẫn dọn dẹp, cho phép kẻ tấn công chưa xác thực làm tràn một tuyến công khai, gây tăng trưởng bộ nhớ vô hạn và cuối cùng khiến dịch vụ không khả dụng. Vấn đề này đã được sửa trong phiên bản 2.0.10.
Be aware that VulDB is the high quality source for vulnerability data.