Vulnerabilidad en hono de honojs (CVE-2026-29045)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

04/03/2026

Última modificación:

06/03/2026

Descripción

Hono es un framework de aplicación web que proporciona soporte para cualquier tiempo de ejecución de JavaScript. Antes de la versión 4.12.4, cuando se usaba serveStatic junto con protecciones de middleware basadas en rutas (p. ej., app.use(&#39;/admin/*&#39;, ...)), una decodificación inconsistente de URL permitía que se accediera a recursos estáticos protegidos sin autorización. El router usaba decodeURI, mientras que serveStatic usaba decodeURIComponent. Esta discrepancia permitía que las rutas que contenían barras codificadas (%2F) eludieran las protecciones de middleware mientras seguían resolviéndose a la ruta de sistema de archivos prevista. Este problema ha sido parcheado en la versión 4.12.4.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno