CVE-2026-54289

إصدارات Hono الأقدم من 4.12.25

في AWS Lambda@Edge، يقوم CloudFront بتسليم رؤوس الطلبات التي تظهر عدة مرات كمدخلات منفصلة. ويستخدم المُهايئ الدالة Headers.set بدلاً من Headers.append، مما يؤدي إلى استبدال كل قيمة لاحقة للقيمة السابقة، أي أن القيمة النهائية فقط هي التي تصل إلى التطبيق. ينتج عن ذلك اقتطاع صامت لرؤوس الطلبات المتكررة مثل X-Forwarded-For وForwarded وVia إلى قيمة واحدة. ونتيجة لذلك، تتلقى البرمجيات الوسيطة للطلبات بيانات غير مكتملة بدلاً من السلسلة الكاملة. بالنسبة للتطبيقات التي تستخدم سلسلة X-Forwarded-For للتحكم في الوصول، قد يؤدي ذلك إلى إضعاف أو تغيير قرارات الأمان، كما يتم فقدان سجل نقاط الترحيل لأغراض التدقيق.

التحديث إلى الإصدار 4.12.25.