CVE-2026-59897

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware weryfikacji JWT JWK/JWKS miał wadę, która pozwalała algorytmowi z nagłówka JWT wpływać na weryfikację podpisu, gdy wybrany JWK nie definiował algorytmu. Może to umożliwić pomylenie algorytmów JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware JWT do weryfikacji JWK/JWKS miał podatność, która pozwalała, aby wartość alg w nagłówku JWT wpływała na weryfikację podpisu, gdy wybrany JWK nie określał jawnie algorytmu. Może to umożliwić pomylenie algorytmu JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Podatność na path traversal w serve-static na Windows przez zakodowany backslash (%5C) w ścieżce żądania. Na hostach Windows zakodowany backslash (%5C) dekoduje się do \, co powoduje, że ścieżka Windows traktuje go jako separator katalogów.

Hono przed wersją 4.12.34 ma podatność na ReDoS w wbudowanym middleware CORS (hono/cors). Podczas preflight OPTIONS, middleware parsuje nagłówek Access-Control-Request-Headers za pomocą wyrażenia regularnego, które ma złożoność kwadratową, co może prowadzić do długotrwałego blokowania przetwarzania żądań. Dotyczy to domyślnej konfiguracji, gdy allowHeaders jest puste lub nieustawione.

Podatność w frameworku Hono w wersjach od 3.8.0 do 4.12.33 dotyczy funkcji memo() z hono/jsx, która przechowuje wynik renderowania po stronie serwera i używa go ponownie dla późniejszych renderów z równymi propsami. Wartości zależne od żądania odczytywane wewnątrz komponentu nie są uwzględniane w porównaniu, co może prowadzić do wyświetlenia użytkownikowi HTML wyrenderowanego dla innego żądania. Problem został naprawiony w wersji 4.12.34.

Hono to framework aplikacji webowych wspierający dowolne środowisko JavaScript. Od wersji 4.7.0 do 4.12.33 funkcja proxy() w hono/proxy nie usuwa nagłówków odpowiedzi wskazanych przez nagłówek Connection origin. Zgodnie z RFC 9110, pośrednik musi usunąć te nagłówki przed przekazaniem, ale funkcja usuwa tylko standardowe nagłówki hop-by-hop, co może prowadzić do ujawnienia metadanych wewnętrznych.

Podatność w frameworku Hono w wersjach od 4.12.0 do 4.12.33 dotyczy middleware languageDetector, który jest podatny na atak DoS przez złożoność algorytmiczną podczas przetwarzania spreparowanego tagu języka z dużą liczbą podtagów oddzielonych myślnikami. Funkcja normalizeLanguage() wielokrotnie wywołuje parts.slice(0, i).join('-') dla każdego możliwego prefiksu, co powoduje kwadratowy wzrost przetwarzania. Problem został naprawiony w wersji 4.12.34.

W Hono przed wersją 4.11.10 wykryto podatność na atak timingowy w middleware basicAuth i bearerAuth. Problem wynika z braku stałoczasowego porównania ciągów w funkcji timingSafeEqual, co umożliwia atakującym wnioskowanie o poprawnych danych uwierzytelniających poprzez precyzyjne pomiary czasu.

Podatność w Hono przed wersją 4.12.7 umożliwia użycie klucza __proto__ w funkcji parseBody z włączoną opcją kropki. Specjalnie spreparowane nazwy pól formularza mogą tworzyć obiekty z właściwościami __proto__, co przy niebezpiecznym scalaniu wyników prowadzi do zanieczyszczenia prototypu i modyfikacji zachowania obiektów.

W frameworku Hono w wersjach od 4.11.8 do 4.12.26 wykryto podatność polegającą na braku izolacji wartości kontekstu na żądanie podczas renderowania po stronie serwera (SSR). Umożliwia to wykorzystanie danych z innego, współbieżnego żądania po wykonaniu instrukcji await w komponencie asynchronicznym.