CVE-2026-126357

Nome do Software Vulnerável e Versões Afetadas Hono versões anteriores a 4.13.16

Description Um cliente não autenticado pode ignorar o middleware de autenticação ou autorização definido para um subcaminho dentro de um prefixo de montagem para acessar rotas protegidas. Isso ocorre porque mount() e app.mount() podem remover um prefixo de montagem dinâmico usando o comprimento do padrão da rota em vez do comprimento do prefixo correspondente, permitindo que um caminho manipulado seja encaminhado como uma rota interna protegida. Além disso, a reconstrução da URL encaminhada a partir do caminho decodificado pode converter uma barra invertida decodificada em uma barra e colapsar segmentos de diretório pai, levando ao mesmo resultado.

Recommendations Atualize para a versão 4.13.16. Como solução temporária, registre o middleware de autenticação dentro da aplicação montada.