CVE-2026-71850

Hono istənilən JavaScript mühitini dəstəkləyən veb tətbiq çərçivəsidir. 3.8.0-dan 4.12.33-ə qədər hono/jsx-dən olan memo() server tərəfində renderin nəticəsini saxlayır və komparator baxımından bərabər props-larla sonrakı renderlər üçün onu təkrar istifadə edir, komponent daxilində oxunan sorğu ilə əlaqəli dəyərlər isə bu müqayisədə iştirak etmir, buna görə cavab başqa istifadəçinin sorğusu üçün render edilmiş HTML-i ehtiva edə bilər. memo() ilə əhatə olunmuş komponentlər yalnız props-lara görə müqayisə edilir; render zamanı dolayı yolla oxunan dəyərlər, məsələn createContext() və useContext() vasitəsilə JSX Context, hono/jsx-renderer-dən useRequestContext() və hono/context-storage-dan getContext() iştirak etmir, saxlanılan nəticə isə əhatə olunmuş komponentin mövcud olduğu müddət qədər yaşayır, yəni onu yaradan sorğudan daha uzun ömürlü olur. İstifadəçi başqa istifadəçi üçün render edilmiş HTML-i ehtiva edən cavab ala bilər, o zaman ki, hər ikisi eyni isti instansiyada komparator baxımından bərabər props-larla eyni memoizasiya edilmiş komponenti render edir; bu, başqa istifadəçinin hesab və ya profil məlumatlarını aşkara çıxara, HTML-ə daxil edilmiş sorğu ilə əlaqəli sirləri, məsələn CSRF tokenlərini aşkara çıxara və ya rol üzrə xüsusi məzmunu onu almamalı olan istifadəçilərə göstərə bilər. Bu problem 4.12.34 versiyasında düzəldilib.