CVE-2026-73565

@hono/node-server, Hono uygulamasının Node.js üzerinde çalıştırılmasına olanak tanır. 2.0.0 sürümünden 2.0.10 sürümüne kadar, eksik veya hatalı biçimlendirilmiş Sec-WebSocket-Key başlığıyla bir upgradeWebSocket rotasına yapılan WebSocket yükseltme isteği, ws.handleUpgrade herhangi bir bağlantı olayı yaymadığından src/websocket.ts dosyasının isteğin IncomingMessage nesnesini waiterMap içinde tutmasına ve waitForWebSocket'in beklemede kalmasına neden olur. Bu nedenle iptal edilen el sıkışmanın herhangi bir temizleme yolu yoktur; bu da kimlik doğrulaması yapılmamış bir saldırganın genel bir rotaya yoğun istek göndermesine, sınırsız bellek büyümesine yol açmasına ve sonunda hizmeti kullanılamaz hale getirmesine olanak tanır. Bu sorun 2.0.10 sürümünde giderilmiştir.