CVE-2026-54290

إصدارات Hono الأقدم من 4.12.25

تقوم البرمجيات الوسيطة CORS بإعادة توجيه حقل Origin في الطلب وإرسال Access-Control-Allow-Credentials: true عندما يكون خيار credentials: true ممكّنًا ولم يتم تحديد origin صريح (حيث يتم استخدام حرف البدل بشكل افتراضي). وهذا يسمح لأي موقع بإجراء طلبات عبر الأصول (cross-origin) مصحوبة ببيانات اعتماد وقراءة الردود، مما يعرض نقاط النهاية المصادق عليها بواسطة ملفات تعريف الارتباط لأصول عشوائية. تعكس البرمجيات الوسيطة قيمة Origin للطلب بدلاً من استخدام حرف البدل، مما يتجاوز قيود المتصفح التي تمنع عادةً استخدام Access-Control-Allow-Origin: * مع بيانات الاعتماد. بالإضافة إلى ذلك، تعيد عملية الفحص المسبق (preflight) إرسال الرؤوس المطلوبة، مما يوافق على الطلبات غير البسيطة المصحوبة ببيانات اعتماد.

قم بالتحديث إلى الإصدار 4.12.25.

قم بتقييد إعداد origin على نطاقات موثوقة محددة بدلاً من استخدام حرف البدل عند تمكين credentials: true.