PT-2024-30656 · Hono · Hono
Wataru-Chocola
·
Publicado
2024-08-22
·
Atualizado
2025-09-17
·
CVE-2024-43787
CVSS v3.1
5.0
Média
| Vetor | AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões do Hono anteriores à 4.5.8
Descrição
O middleware CSRF do Hono pode ser contornado por meio de um cabeçalho
Content-Type manipulado. Isso ocorre porque os tipos MIME não diferenciam maiúsculas de minúsculas, mas a função isRequestedByFormElementRe só compara tipos MIME em minúsculas. Como resultado, um invasor pode contornar o middleware CSRF usando um tipo MIME semelhante a um formulário em maiúsculas, como “Application/x-www-form-urlencoded”.Recomendações
Para versões anteriores à 4.5.8, atualize para a versão 4.5.8 para corrigir a vulnerabilidade. Como solução temporária, considere modificar a função
isRequestedByFormElementRe para comparar tipos MIME sem distinção entre maiúsculas e minúsculas. Restrinja o acesso ao middleware CSRF para minimizar o risco de exploração. Evite usar tipos MIME semelhantes a formulários em maiúsculas no cabeçalho Content-Type até que o problema seja resolvido.Exploit
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hono