CVE-2026-56762

4.12.12 sürümünden önceki Hono, setCookie(), serialize() ve serializeSigned() fonksiyonlarındaki yazma yolunda çerez isimlerini doğrulamamaktadır; bu durum, bir uygulama kullanıcı kontrollü bir çerez ismi ilettiğinde kontrol karakterleri (örneğin \r veya \n) gibi geçersiz karakterlerin kullanılmasına izin verir. Bu durum, hatalı biçimlendirilmiş Set-Cookie başlık değerlerinin oluşmasına neden olabilir. Node.js ve Cloudflare Workers gibi modern çalışma zamanlarında, bu tür geçersiz başlık değerleri reddedilir ve yanıt gönderilmeden önce bir çalışma zamanı hatasına yol açar; bu nedenle başlık enjeksiyonu veya yanıt bölme (response splitting) yeniden üretilememiştir; sorun öncelikle doğruluk ve dayanıklılığı etkileyerek onaylanmış bir başlık enjeksiyonundan ziyade çalışma zamanı hatalarına (erişilebilirlik) neden olmaktadır.