Podatności Hono

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware weryfikacji JWT JWK/JWKS miał wadę, która pozwalała algorytmowi z nagłówka JWT wpływać na weryfikację podpisu, gdy wybrany JWK nie definiował algorytmu. Może to umożliwić pomylenie algorytmów JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware JWT do weryfikacji JWK/JWKS miał podatność, która pozwalała, aby wartość alg w nagłówku JWT wpływała na weryfikację podpisu, gdy wybrany JWK nie określał jawnie algorytmu. Może to umożliwić pomylenie algorytmu JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Podatność na path traversal w serve-static na Windows przez zakodowany backslash (%5C) w ścieżce żądania. Na hostach Windows zakodowany backslash (%5C) dekoduje się do \, co powoduje, że ścieżka Windows traktuje go jako separator katalogów.

hono w wersjach przed 4.13.7 nie escapuje znaków HTML w zwykłych łańcuchach renderowanych przez hono/jsx w kilku kontekstach, m.in. jako dziecko lub fallback Suspense, jako dziecko ErrorBoundary z asynchronicznym rodzeństwem, jako jedyne dziecko Context.Provider oraz jako wartość główna przekazywana do renderToString() lub renderToReadableStream(). W tych ścieżkach dane wejściowe są konwertowane na łańcuch i traktowane jako już zescapowany znacznik, co pozwala atakującemu wstrzyknąć dowolny HTML i wykonać skrypt w kontekście domeny aplikacji.

Framework Hono w wersjach od 4.12.12 do 4.13.5 zawiera niepełną poprawkę dla CVE-2026-39408 — funkcja toSSG() może nadal zapisywać pliki poza skonfigurowanym katalogiem wyjściowym, gdy parametr trasy zawiera kolejne segmenty katalogu nadrzędnego. Luka dotyczy wyłącznie generowania statycznej strony w czasie budowania, gdy wartości ssgParams nie są w pełni kontrolowane przez dewelopera.

W Hono (framework web dla JavaScript) przed wersją 4.13.5, gdy parseBody() rozwija nazwy pól formularza rozdzielone kropkami na zagnieżdżone obiekty z włączonym parsowaniem notacji kropkowej, nie ogranicza głębokości zagnieżdżenia ani całkowitej liczby tworzonych obiektów pośrednich. Puste segmenty są zachowywane, więc jedna głęboko kropkowana nazwa pola może zakodować jeden poziom zagnieżdżenia na bajt, podczas gdy duża liczba płytko kropkowanych pól może stworzyć tę samą amplifikację w ramach żądania. Treść żądania w normalnym limicie rozmiaru może zatem przydzielić graf obiektów znacznie większy niż żądanie po jego zaakceptowaniu. Nieuwierzytelniony atakujący, który może dotrzeć do dotkniętego punktu końcowego, może wysyłać równoczesne żądania, które wyczerpują stertę JavaScript, kończą proces serwera i pozostawiają usługę niedostępną do czasu restartu. Parsowanie notacji kropkowej nie jest domyślnie włączone, a aplikacje korzystające z domyślnego zachowania nie są dotknięte. Problem naprawiono w wersji 4.13.5.

W Hono (framework web dla JavaScript) przed wersją 4.13.5, pomocnicze funkcje zapytań traktują znak zapytania po dosłownym fragmencie hash jako początek ciągu zapytania, więc aplikacja może odczytywać parametry żądania, których przeglądarki, new URL(), reverse proxy, reguły filtrowania, listy dozwolonych i zabronionych parametrów, logowanie dostępu, walidacja żądań i inne oprogramowanie pośredniczące nie obserwują. Middleware Cache usuwa fragment podczas budowania klucza pamięci podręcznej, co pozwala na przechowywanie odpowiedzi pod wpływem parametrów wewnątrz fragmentu pod kluczem, który je pomija, i późniejsze serwowanie innym użytkownikom. Może to ominąć filtrowanie i audyt, zatruć odpowiedzi w pamięci podręcznej i umożliwić trwały cross-site scripting, gdy dotknięty parametr jest odzwierciedlany w buforowanym HTML bez escapowania. Eksploatacja wymaga środowiska wykonawczego i ścieżki pośredniej, która przekazuje dosłowny znak hash do URL-a żądania; Cloudflare Workers i pośrednicy usuwający fragmenty nie są dotknięci. Problem naprawiono w wersji 4.13.5.

Hono przed wersją 4.12.34 ma podatność na ReDoS w wbudowanym middleware CORS (hono/cors). Podczas preflight OPTIONS, middleware parsuje nagłówek Access-Control-Request-Headers za pomocą wyrażenia regularnego, które ma złożoność kwadratową, co może prowadzić do długotrwałego blokowania przetwarzania żądań. Dotyczy to domyślnej konfiguracji, gdy allowHeaders jest puste lub nieustawione.

Podatność w frameworku Hono w wersjach od 3.8.0 do 4.12.33 dotyczy funkcji memo() z hono/jsx, która przechowuje wynik renderowania po stronie serwera i używa go ponownie dla późniejszych renderów z równymi propsami. Wartości zależne od żądania odczytywane wewnątrz komponentu nie są uwzględniane w porównaniu, co może prowadzić do wyświetlenia użytkownikowi HTML wyrenderowanego dla innego żądania. Problem został naprawiony w wersji 4.12.34.

Hono to framework aplikacji webowych wspierający dowolne środowisko JavaScript. Od wersji 4.7.0 do 4.12.33 funkcja proxy() w hono/proxy nie usuwa nagłówków odpowiedzi wskazanych przez nagłówek Connection origin. Zgodnie z RFC 9110, pośrednik musi usunąć te nagłówki przed przekazaniem, ale funkcja usuwa tylko standardowe nagłówki hop-by-hop, co może prowadzić do ujawnienia metadanych wewnętrznych.

Podatność w frameworku Hono w wersjach od 4.12.0 do 4.12.33 dotyczy middleware languageDetector, który jest podatny na atak DoS przez złożoność algorytmiczną podczas przetwarzania spreparowanego tagu języka z dużą liczbą podtagów oddzielonych myślnikami. Funkcja normalizeLanguage() wielokrotnie wywołuje parts.slice(0, i).join('-') dla każdego możliwego prefiksu, co powoduje kwadratowy wzrost przetwarzania. Problem został naprawiony w wersji 4.12.34.

W Hono przed wersją 4.11.10 wykryto podatność na atak timingowy w middleware basicAuth i bearerAuth. Problem wynika z braku stałoczasowego porównania ciągów w funkcji timingSafeEqual, co umożliwia atakującym wnioskowanie o poprawnych danych uwierzytelniających poprzez precyzyjne pomiary czasu.

Podatność w Hono przed wersją 4.12.7 umożliwia użycie klucza __proto__ w funkcji parseBody z włączoną opcją kropki. Specjalnie spreparowane nazwy pól formularza mogą tworzyć obiekty z właściwościami __proto__, co przy niebezpiecznym scalaniu wyników prowadzi do zanieczyszczenia prototypu i modyfikacji zachowania obiektów.

W frameworku Hono w wersjach od 4.3.3 do 4.12.26 adapter AWS API Gateway v1 nieprawidłowo usuwa duplikaty wartości nagłówka, używając porównania podciągów zamiast dokładnego dopasowania. Powoduje to utratę odrębnych, powtarzających się wartości nagłówka, co wpływa na kompletność danych przetwarzanych przez oprogramowanie pośredniczące lub logikę aplikacji.

W frameworku Hono w wersjach od 4.11.8 do 4.12.26 wykryto podatność polegającą na braku izolacji wartości kontekstu na żądanie podczas renderowania po stronie serwera (SSR). Umożliwia to wykorzystanie danych z innego, współbieżnego żądania po wykonaniu instrukcji await w komponencie asynchronicznym.

Podatność w frameworku Hono (wersje 4.0.0 do 4.12.26) w funkcji cx() z hono/css. Funkcja ta łączy nazwy klas z czystych stringów, ale oznacza wynik jako już zabezpieczony przed HTML-escapingiem, co pozwala na wstrzyknięcie dowolnego kodu HTML przez nieufne wartości className w atrybucie class podczas renderowania po stronie serwera.

Podatność w Hono przed wersją 4.10.2 (załatana w 4.10.3) w komponencie CORS middleware powoduje, że gdy źródło (origin) nie jest ustawione na "*", nagłówek Vary z żądania jest kopiowany do odpowiedzi. Atakujący może dostarczyć dowolne wartości Vary, które zostaną odbite w odpowiedzi, co prowadzi do skażenia pamięci podręcznej i niespójnego egzekwowania CORS w środowiskach z współdzielonymi pamięciami podręcznymi lub proxy.

Hono przed wersją 4.12.12 nie weryfikuje nazw ciasteczek w funkcjach setCookie(), serialize() i serializeSigned(), co pozwala na użycie nieprawidłowych znaków, takich jak znaki kontrolne. Może to prowadzić do błędnych wartości nagłówków Set-Cookie.

Hono, framework webowy wspierający dowolne środowisko JavaScript, w wersjach przed 4.12.12 posiada podatność polegającą na rozbieżności między parsowaniem ciasteczek przez przeglądarkę a funkcją parse(). Pozwala to na ominięcie ochrony prefiksów ciasteczek, umożliwiając atakującemu nadpisanie prawidłowych ciasteczek własnymi.

Hono przed wersją 4.12.12 nie kanonizuje adresów IPv4-mapped IPv6 (np. ::ffff:127.0.0.1) przed zastosowaniem reguł zezwalania/odmowy dla IPv4 w funkcji ipRestriction().

Hono przed wersją 4.12.12 zawiera podatność na path traversal w funkcji toSSG(), która pozwala na zapisywanie plików poza skonfigurowanym katalogiem wyjściowym podczas generowania statycznej strony.

W Hono przed wersją 4.12.12 występuje niespójność obsługi ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Może to prowadzić do obejścia autoryzacji opartej na trasach.