CVE-2026-39408

Hono w wersji od 4.12.4 do 4.13.11 zawiera podatność obejścia middleware w serveStatic, która pozwala nieuwierzytelnionym atakującym pominąć middleware prefiksu poprzez wykorzystanie podwójnego dekodowania ścieżki. Atakujący mogą wysyłać zniekształcone ścieżki z kodowaniem procentowym, które router dopasowuje w formie zakodowanej, docierając do plików statycznych bez uruchomienia kontroli uwierzytelniania.

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware weryfikacji JWT JWK/JWKS miał wadę, która pozwalała algorytmowi z nagłówka JWT wpływać na weryfikację podpisu, gdy wybrany JWK nie definiował algorytmu. Może to umożliwić pomylenie algorytmów JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware JWT do weryfikacji JWK/JWKS miał podatność, która pozwalała, aby wartość alg w nagłówku JWT wpływała na weryfikację podpisu, gdy wybrany JWK nie określał jawnie algorytmu. Może to umożliwić pomylenie algorytmu JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Podatność na path traversal w serve-static na Windows przez zakodowany backslash (%5C) w ścieżce żądania. Na hostach Windows zakodowany backslash (%5C) dekoduje się do \, co powoduje, że ścieżka Windows traktuje go jako separator katalogów.

hono w wersjach przed 4.13.7 nie escapuje znaków HTML w zwykłych łańcuchach renderowanych przez hono/jsx w kilku kontekstach, m.in. jako dziecko lub fallback Suspense, jako dziecko ErrorBoundary z asynchronicznym rodzeństwem, jako jedyne dziecko Context.Provider oraz jako wartość główna przekazywana do renderToString() lub renderToReadableStream(). W tych ścieżkach dane wejściowe są konwertowane na łańcuch i traktowane jako już zescapowany znacznik, co pozwala atakującemu wstrzyknąć dowolny HTML i wykonać skrypt w kontekście domeny aplikacji.

Framework Hono w wersjach od 4.12.12 do 4.13.5 zawiera niepełną poprawkę dla CVE-2026-39408 — funkcja toSSG() może nadal zapisywać pliki poza skonfigurowanym katalogiem wyjściowym, gdy parametr trasy zawiera kolejne segmenty katalogu nadrzędnego. Luka dotyczy wyłącznie generowania statycznej strony w czasie budowania, gdy wartości ssgParams nie są w pełni kontrolowane przez dewelopera.

W Hono (framework web dla JavaScript) przed wersją 4.13.5, gdy parseBody() rozwija nazwy pól formularza rozdzielone kropkami na zagnieżdżone obiekty z włączonym parsowaniem notacji kropkowej, nie ogranicza głębokości zagnieżdżenia ani całkowitej liczby tworzonych obiektów pośrednich. Puste segmenty są zachowywane, więc jedna głęboko kropkowana nazwa pola może zakodować jeden poziom zagnieżdżenia na bajt, podczas gdy duża liczba płytko kropkowanych pól może stworzyć tę samą amplifikację w ramach żądania. Treść żądania w normalnym limicie rozmiaru może zatem przydzielić graf obiektów znacznie większy niż żądanie po jego zaakceptowaniu. Nieuwierzytelniony atakujący, który może dotrzeć do dotkniętego punktu końcowego, może wysyłać równoczesne żądania, które wyczerpują stertę JavaScript, kończą proces serwera i pozostawiają usługę niedostępną do czasu restartu. Parsowanie notacji kropkowej nie jest domyślnie włączone, a aplikacje korzystające z domyślnego zachowania nie są dotknięte. Problem naprawiono w wersji 4.13.5.

W Hono (framework web dla JavaScript) przed wersją 4.13.5, pomocnicze funkcje zapytań traktują znak zapytania po dosłownym fragmencie hash jako początek ciągu zapytania, więc aplikacja może odczytywać parametry żądania, których przeglądarki, new URL(), reverse proxy, reguły filtrowania, listy dozwolonych i zabronionych parametrów, logowanie dostępu, walidacja żądań i inne oprogramowanie pośredniczące nie obserwują. Middleware Cache usuwa fragment podczas budowania klucza pamięci podręcznej, co pozwala na przechowywanie odpowiedzi pod wpływem parametrów wewnątrz fragmentu pod kluczem, który je pomija, i późniejsze serwowanie innym użytkownikom. Może to ominąć filtrowanie i audyt, zatruć odpowiedzi w pamięci podręcznej i umożliwić trwały cross-site scripting, gdy dotknięty parametr jest odzwierciedlany w buforowanym HTML bez escapowania. Eksploatacja wymaga środowiska wykonawczego i ścieżki pośredniej, która przekazuje dosłowny znak hash do URL-a żądania; Cloudflare Workers i pośrednicy usuwający fragmenty nie są dotknięci. Problem naprawiono w wersji 4.13.5.

Hono przed wersją 4.12.34 ma podatność na ReDoS w wbudowanym middleware CORS (hono/cors). Podczas preflight OPTIONS, middleware parsuje nagłówek Access-Control-Request-Headers za pomocą wyrażenia regularnego, które ma złożoność kwadratową, co może prowadzić do długotrwałego blokowania przetwarzania żądań. Dotyczy to domyślnej konfiguracji, gdy allowHeaders jest puste lub nieustawione.

Podatność w frameworku Hono w wersjach od 3.8.0 do 4.12.33 dotyczy funkcji memo() z hono/jsx, która przechowuje wynik renderowania po stronie serwera i używa go ponownie dla późniejszych renderów z równymi propsami. Wartości zależne od żądania odczytywane wewnątrz komponentu nie są uwzględniane w porównaniu, co może prowadzić do wyświetlenia użytkownikowi HTML wyrenderowanego dla innego żądania. Problem został naprawiony w wersji 4.12.34.