CVE-2026-93981
Açıklama
4.13.7 sürümünden önceki hono; hono/jsx tarafından bir Suspense alt öğesi veya yedeklemesi olarak, asenkron bir kardeş öğeyle birlikte ErrorBoundary'nin dize alt öğesi olarak, bir Context.Provider'ın tek alt öğesi olarak veya hono/jsx/dom/server üzerinden renderToString() veya renderToReadableStream() fonksiyonlarına iletilen kök değer olarak işlenen düz dizeleri HTML-kaçış işlemine tabi tutmamaktadır. Bu yollar girdilerini dizeye dönüştürür ve sonucu önceden kaçırılmış işaretleme olarak değerlendirir; bu nedenle sunucu tarafı oluşturma sırasında böyle bir dizeyi kontrol eden bir saldırgan, rastgele HTML enjekte edebilir ve uygulamanın kaynağı altında betik çalıştırabilir.
Nasıl düzeltilir
- hono4.13.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hononpm | v < 4.13.7 | 4.13.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.