Vulnerabilidad en hono de honojs (CVE-2025-62610)

Hono es un framework de aplicación web que proporciona soporte para cualquier entorno de ejecución de JavaScript. En versiones desde la 1.1.0 hasta antes de la 4.10.2, el Middleware de autenticación JWT de Hono no proporciona una opción de verificación de aud (Audiencia) incorporada, lo que puede causar problemas de confused-deputy / token-mix-up: una API puede aceptar un token válido que fue emitido para una audiencia diferente (por ejemplo, otro servicio) cuando múltiples servicios comparten el mismo emisor/claves. Esto puede llevar a acceso no intencionado entre servicios. La documentación de Hono enumera opciones de verificación solo para iss/nbf/iat/exp, sin soporte para aud; RFC 7519 requiere que cuando una declaración aud está presente, los tokens DEBEN ser rechazados a menos que la parte procesadora se identifique en esa declaración. Este problema ha sido parcheado en la versión 4.10.2.