CVE-2026-69207
Publiée le 2026-08-07 · Dernière modification le 2026-10-24
Les applications web utilisant le framework Hono avec son middleware CORS par défaut sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut envoyer une requête HTTP spécialement conçue, contenant une longue chaîne d'espaces, pour provoquer un pic d'utilisation du processeur et potentiellement geler le serveur. Cette attaque est facile à exécuter via un réseau et ne nécessite aucune interaction de l'utilisateur, bien que son impact dépende de la manière dont votre environnement d'exécution JavaScript gère les requêtes sur un seul thread.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.34, the built-in CORS middleware, hono/cors, is vulnerable to a regular expression denial of service (ReDoS). During a preflight OPTIONS request, the middleware parses the attacker-controlled Access-Control-Request-Headers header using a whitespace-tolerant regular expression whose backtracking makes its running time quadratic in the input length. Because the header value is bounded only by the deployment's maximum HTTP header size, a single preflight carrying a long run of whitespace can consume seconds of CPU and block request processing. On runtimes that share one execution thread across requests, this stalls concurrent requests as well, and repeated requests can render the service unresponsive. This affects the default configuration, since the vulnerable path is reached whenever cors() is used with an unset or empty allowHeaders. Applications that set a non-empty allowHeaders are not affected. This issue is fixed in version 4.12.34.