CVE-2026-39407
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W Hono przed wersją 4.12.12 występuje niespójność obsługi ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Może to prowadzić do obejścia autoryzacji opartej na trasach.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do chronionych plików statycznych, co może skutkować wyciekiem wrażliwych danych.
Rekomendacja
Zaktualizuj Hono do wersji 4.12.12 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.12, a path handling inconsistency in serveStatic allows protected static files to be accessed by using repeated slashes (//) in the request path. When route-based middleware (e.g., /admin/*) is used for authorization, the router may not match paths containing repeated slashes, while serveStatic resolves them as normalized paths. This can lead to a middleware bypass. This vulnerability is fixed in 4.12.12.