CVE-2026-22818

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware JWT do weryfikacji JWK/JWKS miał podatność, która pozwalała, aby wartość alg w nagłówku JWT wpływała na weryfikację podpisu, gdy wybrany JWK nie określał jawnie algorytmu. Może to umożliwić pomylenie algorytmu JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Podatność na path traversal w serve-static na Windows przez zakodowany backslash (%5C) w ścieżce żądania. Na hostach Windows zakodowany backslash (%5C) dekoduje się do \, co powoduje, że ścieżka Windows traktuje go jako separator katalogów.

Hono przed wersją 4.12.34 ma podatność na ReDoS w wbudowanym middleware CORS (hono/cors). Podczas preflight OPTIONS, middleware parsuje nagłówek Access-Control-Request-Headers za pomocą wyrażenia regularnego, które ma złożoność kwadratową, co może prowadzić do długotrwałego blokowania przetwarzania żądań. Dotyczy to domyślnej konfiguracji, gdy allowHeaders jest puste lub nieustawione.

Podatność w frameworku Hono w wersjach od 3.8.0 do 4.12.33 dotyczy funkcji memo() z hono/jsx, która przechowuje wynik renderowania po stronie serwera i używa go ponownie dla późniejszych renderów z równymi propsami. Wartości zależne od żądania odczytywane wewnątrz komponentu nie są uwzględniane w porównaniu, co może prowadzić do wyświetlenia użytkownikowi HTML wyrenderowanego dla innego żądania. Problem został naprawiony w wersji 4.12.34.

Hono to framework aplikacji webowych wspierający dowolne środowisko JavaScript. Od wersji 4.7.0 do 4.12.33 funkcja proxy() w hono/proxy nie usuwa nagłówków odpowiedzi wskazanych przez nagłówek Connection origin. Zgodnie z RFC 9110, pośrednik musi usunąć te nagłówki przed przekazaniem, ale funkcja usuwa tylko standardowe nagłówki hop-by-hop, co może prowadzić do ujawnienia metadanych wewnętrznych.

Podatność w frameworku Hono w wersjach od 4.12.0 do 4.12.33 dotyczy middleware languageDetector, który jest podatny na atak DoS przez złożoność algorytmiczną podczas przetwarzania spreparowanego tagu języka z dużą liczbą podtagów oddzielonych myślnikami. Funkcja normalizeLanguage() wielokrotnie wywołuje parts.slice(0, i).join('-') dla każdego możliwego prefiksu, co powoduje kwadratowy wzrost przetwarzania. Problem został naprawiony w wersji 4.12.34.

W Hono przed wersją 4.11.10 wykryto podatność na atak timingowy w middleware basicAuth i bearerAuth. Problem wynika z braku stałoczasowego porównania ciągów w funkcji timingSafeEqual, co umożliwia atakującym wnioskowanie o poprawnych danych uwierzytelniających poprzez precyzyjne pomiary czasu.

Podatność w Hono przed wersją 4.12.7 umożliwia użycie klucza __proto__ w funkcji parseBody z włączoną opcją kropki. Specjalnie spreparowane nazwy pól formularza mogą tworzyć obiekty z właściwościami __proto__, co przy niebezpiecznym scalaniu wyników prowadzi do zanieczyszczenia prototypu i modyfikacji zachowania obiektów.

W frameworku Hono w wersjach od 4.3.3 do 4.12.26 adapter AWS API Gateway v1 nieprawidłowo usuwa duplikaty wartości nagłówka, używając porównania podciągów zamiast dokładnego dopasowania. Powoduje to utratę odrębnych, powtarzających się wartości nagłówka, co wpływa na kompletność danych przetwarzanych przez oprogramowanie pośredniczące lub logikę aplikacji.

W frameworku Hono w wersjach od 4.11.8 do 4.12.26 wykryto podatność polegającą na braku izolacji wartości kontekstu na żądanie podczas renderowania po stronie serwera (SSR). Umożliwia to wykorzystanie danych z innego, współbieżnego żądania po wykonaniu instrukcji await w komponencie asynchronicznym.