FICHE CVE

CVE-2026-39409

Publiée le 2026-04-08 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les applications web développées avec le framework Hono avant la version 4.12.12 sont concernées si elles utilisent `ipRestriction()` pour bloquer ou autoriser des adresses IPv4 spécifiques. Un attaquant peut contourner ces contrôles d'accès basés sur l'IP en envoyant des requêtes via des adresses IPv6 mappées en IPv4, permettant potentiellement un accès non autorisé à des points de terminaison restreints. Cela peut être exécuté via le réseau sans authentification ni interaction de l'utilisateur, à condition que le serveur fonctionne dans un environnement dual-stack tel que Node.js.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-180

Publiée2026-04-08

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.12, ipRestriction() does not canonicalize IPv4-mapped IPv6 client addresses (e.g. ::ffff:127.0.0.1) before applying IPv4 allow or deny rules. In environments such as Node.js dual-stack, this can cause IPv4 rules to fail to match, leading to unintended authorization behavior. This vulnerability is fixed in 4.12.12.