CVE-2026-73565

Nome do Software Vulnerável e Versões Afetadas @hono/node-server versões 2.0.0 a 2.0.9

Description Uma falha ocorre ao processar solicitações de upgrade de WebSocket para uma rota upgradeWebSocket. Se o cabeçalho Sec-WebSocket-Key estiver ausente ou malformado, o arquivo src/websocket.ts retém o IncomingMessage da solicitação no waiterMap e deixa o waitForWebSocket pendente, pois o ws.handleUpgrade não emite um evento de conexão. A ausência de um caminho de limpeza para handshakes abortados permite que um invasor não autenticado inunde uma rota pública, causando crescimento ilimitado de memória e eventual indisponibilidade do serviço.

Recommendations Atualizar para a versão 2.0.10.