CVE-2026-39406
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
@hono/node-server przed wersją 1.19.13 ma niespójność w obsłudze ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Middleware oparte na trasach (np. /admin/*) może nie dopasować ścieżek z powtarzającymi się ukośnikami, podczas gdy serveStatic rozwiązuje je jako znormalizowane ścieżki, co prowadzi do obejścia autoryzacji.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do chronionych plików statycznych, takich jak konfiguracje lub dane wrażliwe.
Rekomendacja
Należy zaktualizować @hono/node-server do wersji 1.19.13 lub nowszej.
Inne podatności w @hono/node-server
Zobacz wszystkie- CVE-2026-118663Średnie
W @hono/node-server od wersji 1.19.10 do 2.1.3 funkcja serveStatic dekoduje ścieżkę żądania po raz drugi po tym, jak Hono już ją zdekodowało do routingu. Zniekształcona sekwencja procentowa może spowodować, że middleware routingu oceni zakodowaną ścieżkę, podczas gdy rozwiązywanie plików statycznych użyje innego katalogu.
- CVE-2026-73565Średnie
@hono/node-server w wersjach od 2.0.0 do 2.0.10 ma podatność w obsłudze WebSocket, gdzie żądanie upgrade z brakującym lub nieprawidłowym nagłówkiem Sec-WebSocket-Key powoduje, że żądanie pozostaje w waiterMap i nie ma ścieżki oczyszczania po przerwaniu uzgadniania. Pozwala to nieuwierzytelnionemu atakującemu na zalewanie publicznej trasy, powodując nieograniczony wzrost pamięci i niedostępność usługi.
Oryginalny opis (angielski, źródło NVD)
@hono/node-server allows running the Hono application on Node.js. Prior to 1.19.13, a path handling inconsistency in serveStatic allows protected static files to be accessed by using repeated slashes (//) in the request path. When route-based middleware (e.g., /admin/*) is used for authorization, the router may not match paths containing repeated slashes, while serveStatic resolves them as normalized paths. This can lead to a middleware bypass. This vulnerability is fixed in 1.19.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS