PT-2026-2798 · Hono · Hono
Calloc134
+1
·
Publicado
2026-01-13
·
Atualizado
2026-01-14
·
CVE-2026-22817
CVSS v3.1
8.2
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Hono anteriores a 4.11.4
Descrição
O Hono é um framework de aplicação web que suporta vários runtimes JavaScript. Existe uma vulnerabilidade no middleware de verificação JWT ao utilizar JWK/JWKS, na qual o valor
alg no cabeçalho JWT poderia influenciar a verificação da assinatura mesmo que o JWK selecionado não definisse explicitamente um algoritmo. Isso poderia levar à confusão de algoritmo JWT, potencialmente permitindo que tokens falsificados sejam aceitos. A correção envolve exigir que a opção alg seja especificada explicitamente no middleware JWT, impedindo o uso de valores não confiáveis do cabeçalho JWT para determinar o algoritmo de verificação.Recomendações
Atualize para a versão 4.11.4 do Hono ou posterior.
Exploit
Correção
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Hono