PT-2026-57431 · Hono · Hono

0Xkakash1 · Publicado 2026-03-11 · Atualizado 2026-07-11 · CVE-2026-56763

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Hono versões anteriores a 4.12.7

Description A função parseBody() permite o uso da chave proto quando a opção dot está habilitada. Isso permite que nomes de campos de formulário especialmente criados gerem objetos contendo propriedades proto. Se esses resultados analisados forem mesclados em objetos JavaScript comuns usando padrões de mesclagem inseguros, isso pode levar à poluição de protótipo (prototype pollution), permitindo que um invasor modifique o comportamento do objeto.

Recommendations Atualize o Hono para a versão 4.12.7 ou posterior. Como medida de mitigação temporária, desabilite a opção dot na função parseBody().

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-56763

GHSA-V8W9-8MX6-G223

Produtos afetados

Hono

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/56xxx/CVE-2026-56763.json · Exploit
• https://github.com/honojs/hono/security/advisories/GHSA-v8w9-8mx6-g223 · Aviso do Fabricante
• https://github.com/honojs/hono · Nota
• https://github.com/honojs/hono/commit/ef902257e0beacbb83d2a9549b3b83e03514a6fe · Nota
• https://twitter.com/CVEnew/status/2076040497936711745 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2076042821363007578 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-v8w9-8mx6-g223 · Aviso do Fabricante
• https://vulncheck.com/advisories/hono-prototype-pollution-via-proto-key-in-parsebody-with-dot-option · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-56763 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-56763 · Aviso do Fabricante