CVE-2025-58362

Hono hər hansı bir JavaScript runtime üçün dəstək təmin edən veb tətbiqi freymvorkudur. 4.8.0 və 4.9.5 arasındakı versiyalarda getPath köməkçi funksiyasında yol qarışıqlığına (path confusion) və potensial olaraq proksi səviyyəli ACL-lərin (məsələn, Nginx location bloklarının) yan keçilməsinə şərait yarada bilən çatışmazlıq mövcuddur. Orijinal implementasiya sorğu URL-lərini analiz edərkən sabit simvol ofsetlərinə əsaslanırdı. Müəyyən yanlış formalaşdırılmış mütləq formalı Request-URI-lər zamanı bu, tətbiqdən və mühitdən asılı olaraq yolun yanlış çıxarılmasına səbəb ola bilərdi. Əgər /admin kimi həssas son nöqtələri (endpoints) qorumaq üçün proksi ACL-lərdən istifadə olunursa, bu çatışmazlıq icazəsiz girişə şərait yarada bilərdi. Məxfiliyin pozulmasının dərəcəsi hansı məlumatların açıqlandığından asılıdır: əgər həssas inzibati məlumatlar açıqlanarsa, təsir yüksək, əks halda orta ola bilər. Bu problem 4.9.6 versiyasında düzəldilmişdir.