CVE-2026-126355

Nome do Software Vulnerável e Versões Afetadas Hono versões anteriores a 4.13.16

Description O middleware csrf() não valida requisições com o tipo de conteúdo text/ping, utilizado pela auditoria de hiperlinks do Chromium através da ação <a ping>. Como o middleware valida apenas tipos de conteúdo normalmente enviados por formulários HTML, ele ignora as verificações de Origin e Sec-Fetch-Site para essas requisições. Isso permite que o Chrome e o Edge enviem requisições POST com credenciais de origem cruzada sem um preflight CORS. Um invasor pode disparar requisições de alteração de estado para endpoints onde a ação é determinada pelo caminho ou string de consulta e não depende do corpo da requisição. Isso requer que o cookie do usuário seja enviado, o que ocorre se a origem for do mesmo site ou se o cookie estiver configurado como SameSite=None.

Recommendations Atualize para a versão 4.13.16. Como solução temporária, rejeite requisições com Content-Type de text/ping em um middleware registrado antes do csrf(). Configure os cookies de sessão com SameSite=Strict para minimizar o risco de exploração.