CVE-2026-73565
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
@hono/node-server w wersjach od 2.0.0 do 2.0.10 ma podatność w obsłudze WebSocket, gdzie żądanie upgrade z brakującym lub nieprawidłowym nagłówkiem Sec-WebSocket-Key powoduje, że żądanie pozostaje w waiterMap i nie ma ścieżki oczyszczania po przerwaniu uzgadniania. Pozwala to nieuwierzytelnionemu atakującemu na zalewanie publicznej trasy, powodując nieograniczony wzrost pamięci i niedostępność usługi.
Ocena ryzyka
Ryzyko ataku DoS na usługi korzystające z WebSocket, prowadzące do wyczerpania pamięci i przerwania działania.
Rekomendacja
Zaktualizuj @hono/node-server do wersji 2.0.10 lub nowszej.
Inne podatności w @hono/node-server
Zobacz wszystkie- CVE-2026-118663Średnie
W @hono/node-server od wersji 1.19.10 do 2.1.3 funkcja serveStatic dekoduje ścieżkę żądania po raz drugi po tym, jak Hono już ją zdekodowało do routingu. Zniekształcona sekwencja procentowa może spowodować, że middleware routingu oceni zakodowaną ścieżkę, podczas gdy rozwiązywanie plików statycznych użyje innego katalogu.
- CVE-2026-39406Średnie
@hono/node-server przed wersją 1.19.13 ma niespójność w obsłudze ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Middleware oparte na trasach (np. /admin/*) może nie dopasować ścieżek z powtarzającymi się ukośnikami, podczas gdy serveStatic rozwiązuje je jako znormalizowane ścieżki, co prowadzi do obejścia autoryzacji.
Oryginalny opis (angielski, źródło NVD)
@hono/node-server allows running the Hono application on Node.js. From 2.0.0 until 2.0.10, a WebSocket upgrade request to an upgradeWebSocket route with a missing or malformed Sec-WebSocket-Key header causes src/websocket.ts to retain the request's IncomingMessage in waiterMap and leave waitForWebSocket pending because ws.handleUpgrade emits no connection event. The aborted handshake therefore has no cleanup path, allowing an unauthenticated attacker to flood a public route, cause unbounded memory growth, and eventually make the service unavailable. This issue is fixed in version 2.0.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS