PT-2026-21921 · Amazon+1 · Aws Application Load Balancers+2
Edamame-X
·
Publicado
2026-02-25
·
Atualizado
2026-03-02
·
CVE-2026-27700
CVSS v3.1
8.2
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Hono 4.12.0 a 4.12.1
Descrição
O Hono é um framework para aplicações Web que oferece suporte para qualquer runtime JavaScript. Ao utilizar o adaptador do AWS Lambda (
hono/aws-lambda) atrás de um Application Load Balancer (ALB), a função getConnInfo() selecionava incorretamente o primeiro valor do cabeçalho X-Forwarded-For. Como o AWS ALB anexa o endereço IP real do cliente ao final do cabeçalho X-Forwarded-For, o primeiro valor pode ser controlado por um atacante. Isso poderia permitir que mecanismos de controle de acesso baseados em IP, como o middleware ipRestriction, fossem contornados. O cabeçalho X-Forwarded-For é utilizado para identificar o endereço IP de origem de um cliente que se conecta a um servidor web através de um proxy HTTP ou balanceador de carga.Recomendações
Versões anteriores à 4.12.2 são afetadas.
Atualize para a versão 4.12.2 ou posterior para resolver esta questão.
Exploit
Correção
Authentication Bypass by Spoofing
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Aws-Lambda
Aws Application Load Balancers
Hono