PT-2026-146077
CVE-2026-126355
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Hono الإصدارات السابقة لـ 4.13.16
Description
يفشل برنامج الوسيط
csrf() في التحقق من الطلبات التي تحمل نوع المحتوى text/ping والتي يتم استخدامها بواسطة تدقيق الارتباطات التشعبية في Chromium عبر إجراء <a ping>. نظرًا لأن برنامج الوسيط يتحقق فقط من أنواع المحتوى التي يتم إرسالها عادةً بواسطة نماذج HTML، فإنه يتجاوز فحوصات Origin و Sec-Fetch-Site لهذه الطلبات. يسمح هذا لمتصفحي Chrome و Edge بإرسال طلبات POST ذات مصادقة من أصل خارجي دون إجراء فحص CORS مسبق. يمكن للمهاجم تحفيز طلبات تغيير الحالة إلى نقاط النهاية التي يتم تحديد إجراءها بواسطة المسار أو سلسلة الاستعلام ولا تعتمد على جسم الطلب. يتطلب ذلك إرسال ملف تعريف ارتباط (cookie) الخاص بالمستخدم، وهو ما يحدث إذا كان الأصل من نفس الموقع أو إذا تم تكوين ملف تعريف الارتباط بـ SameSite=None.Recommendations
التحديث إلى الإصدار 4.13.16.
كإجراء مؤقت، قم برفض الطلبات التي تحمل
Content-Type من نوع text/ping باستخدام برنامج وسيط مسجل قبل csrf().
قم بتعيين ملفات تعريف ارتباط الجلسة على SameSite=Strict لتقليل مخاطر الاستغلال. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾