CVE-2026-29045

ALT (7,5)

CVSS3: 0,0

Hono és un marc de treball per a aplicacions web que proporciona compatibilitat amb qualsevol temps d'execució de JavaScript. Abans de la versió 4.12.4, quan s'utilitzava serveStatic juntament amb proteccions de middleware basades en rutes (per exemple, app.use('/admin/*', …)), la descodificació inconsistent d'URL permetia accedir a recursos estàtics protegits sense autorització. L'encaminador utilitzava decodeURI, mentre que serveStatic utilitzava decodeURIComponent. Aquesta discrepància permetia que les rutes que contenien barres inclinades codificades (%2F) eludissin les proteccions de middleware tot i que es resolien a la ruta del sistema de fitxers prevista.

post:/platform/configuration/security/service-accountsdelete:/platform/configuration/security/service-accounts/patch:/platform/configuration/security/service-accounts/post:/platform/configuration/security/service-accounts//keysdelete:/platform/configuration/security/service-accounts//keys/patch:/userpost:/userspost:/users/auth/keysdelete:/users/auth/keysdelete:/users/auth/keys/_alldelete:/users/auth/keys/delete:/users//auth/keysdelete:/users//auth/keys/delete:/users/patch:/users/

Sistemes Afectats

• honojs hono < 4.12.4

Remediació

Vegeu-ne les Referències.

Referències

• https://github.com/honojs/hono/security/advisories/GHSA-q5qw-h33p qvwr
• https://github.com/honojs/hono/commit/6a0607a929d888893f0c91d92dce2fcfdb3662a3
• https://raw.githubusercontent.com/CVEProject/cvelistV5/main/cves/2026/29xxx/CVE-2026-29045.json