CVE-2026-39410

Nome do Software Vulnerável e Versões Afetadas Hono versões anteriores a 4.12.12

Descrição Uma discrepância entre a análise de cookies do navegador e o tratamento da função parse() permite que as proteções de prefixo de cookie sejam ignoradas. Nomes de cookies que são tratados como distintos pelo navegador podem ser normalizados para a mesma chave por parse(), permitindo que cookies controlados por um invasor substituam cookies legítimos. Os navegadores preservam caracteres como o espaço não separador (U+00A0) nos nomes dos cookies, enquanto a função parse() anteriormente usava o trim() do JavaScript, que remove um conjunto mais amplo de caracteres, incluindo U+00A0. Essa incompatibilidade permite que cookies controlados por um invasor com um prefixo U+00A0 substituam ou sobreponham cookies legítimos quando acessados por meio de getCookie(). Um invasor que pode definir cookies pode ignorar as proteções de prefixo de cookie e substituir cookies confidenciais, levando potencialmente a ignorar as proteções de prefixo Secure- e Host-, substituir cookies que dependem do atributo Secure ou fixação/sequestro de sessão.

Recomendações Atualize para a versão 4.12.12 ou posterior do Hono.