CVE-2026-73565
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
@hono/node-server w wersjach od 2.0.0 do 2.0.10 ma podatność w obsłudze WebSocket, gdzie żądanie upgrade z brakującym lub nieprawidłowym nagłówkiem Sec-WebSocket-Key powoduje, że żądanie pozostaje w waiterMap i nie ma ścieżki oczyszczania po przerwaniu uzgadniania. Pozwala to nieuwierzytelnionemu atakującemu na zalewanie publicznej trasy, powodując nieograniczony wzrost pamięci i niedostępność usługi.
Ocena ryzyka
Ryzyko ataku DoS na usługi korzystające z WebSocket, prowadzące do wyczerpania pamięci i przerwania działania.
Rekomendacja
Zaktualizuj @hono/node-server do wersji 2.0.10 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
@hono/node-server allows running the Hono application on Node.js. From 2.0.0 until 2.0.10, a WebSocket upgrade request to an upgradeWebSocket route with a missing or malformed Sec-WebSocket-Key header causes src/websocket.ts to retain the request's IncomingMessage in waiterMap and leave waitForWebSocket pending because ws.handleUpgrade emits no connection event. The aborted handshake therefore has no cleanup path, allowing an unauthenticated attacker to flood a public route, cause unbounded memory growth, and eventually make the service unavailable. This issue is fixed in version 2.0.10.