CVE-2026-126344

Nome do Software Vulnerável e Versões Afetadas @hono/node-server versões 2.0.0 até 2.1.5

Descrição O caminho de atualização do WebSocket resolve um request-target bruto começando com // em relação a uma URL base construída a partir do cabeçalho Host. Isso faz com que o analisador de URL WHATWG trate o request-target como uma referência de caminho de rede, substituindo o host em c.req.url. Como o roteamento ainda usa o caminho local do WebSocket, aplicativos que comparam o cabeçalho Origin com a origem de c.req.url (incluindo verificações implementadas com csrf()) comparam a origem do invasor com ela mesma e aceitam a conexão. Consequentemente, uma página em outro site pode abrir um WebSocket com os cookies da vítima e ler e enviar mensagens quando o aplicativo usa upgradeWebSocket e confia no host em c.req.url. Requisições HTTP comuns não são afetadas.

Recomendações Atualize para a versão 2.1.6.