CVE-2026-56764
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Hono przed wersją 4.11.10 wykryto podatność na atak timingowy w middleware basicAuth i bearerAuth. Problem wynika z braku stałoczasowego porównania ciągów w funkcji timingSafeEqual, co umożliwia atakującym wnioskowanie o poprawnych danych uwierzytelniających poprzez precyzyjne pomiary czasu.
Ocena ryzyka
Atakujący może zdalnie odczytać hasła lub tokeny uwierzytelniające, co prowadzi do nieautoryzowanego dostępu do chronionych zasobów i potencjalnego przejęcia kont użytkowników.
Rekomendacja
Należy natychmiast zaktualizować Hono do wersji 4.11.10 lub nowszej, która zawiera stałoczasowe porównanie ciągów w funkcji timingSafeEqual.
Oryginalny opis (angielski, źródło NVD)
Hono before 4.11.10 contains a timing attack vulnerability in the basicAuth and bearerAuth middlewares due to non-constant-time string comparison in the timingSafeEqual function. Attackers can exploit early termination of string equality checks to infer valid credentials through precise timing measurements.