CVE-2026-126358

Nome do Software Vulnerável e Versões Afetadas Hono versões 4.1.4 through 4.13.15

Description O RegExpRouter, selecionado pelo SmartRouter padrão para a maioria das aplicações, falha ao aplicar o middleware de curinga (wildcard) em três cenários específicos. Primeiro, o middleware que utiliza um padrão de parâmetro padrão explícito, como /api/:tenant{[^/]+}/admin/*, não é aplicado a rotas escritas como /api/:tenant/admin/:id. Segundo, o middleware em /admin/* não é aplicado a rotas registradas como /admin* para caminhos sob /admin/. Terceiro, caminhos de requisição contendo terminadores de linha codificados (como %0A, %0D, %E2%80%A8 ou %E2%80%A9) podem ignorar o middleware de curinga e atingir o manipulador de não encontrado (not-found handler). Isso ocorre porque o cálculo de cobertura no momento do registro do roteador trata incorretamente certos padrões correspondentes como diferentes, e o curinga compilado não corresponde a terminadores de linha. Consequentemente, um cliente não autenticado pode acessar manipuladores de rota ou o manipulador de não encontrado sem o middleware de autenticação ou autorização necessário.

Recommendations Atualize o Hono para a versão 4.13.16. Como solução temporária, utilize new Hono({ router: new TrieRouter() }) para evitar o roteador afetado.