🇰🇷 한글 설명
Hono는 모든 JavaScript 런타임을 지원하는 웹 애플리케이션 프레임워크입니다. 4.12.18 이전 버전의 Cache Middleware는 Vary: Authorization 또는 Vary: Cookie 헤더를 가진 응답을 사용자별로 구분하지 않고 캐싱하여, 한 인증 사용자의 응답이 다른 사용자에게 제공될 수 있습니다.
💡 쉬운 설명
사용자마다 달라야 하는 응답이 캐시에 저장되어 다른 사람에게 잘못 보여질 수 있습니다. 개인정보가 다른 사용자에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.18, Cache Middleware does not skip caching for responses that declare per-user variance via Vary: Authorization or Vary: Cookie. As a result, a response cached for one authenticated user may be served to subsequent requests from different users. This vulnerability is fixed in 4.12.18.
📍 영향받는 시스템
Hono 4.12.18 미만 버전을 사용하는 Cache Middleware 적용 애플리케이션
⚔️ 공격 벡터
공격자가 캐시된 응답이 제공되는 시점에 요청을 보내 다른 인증 사용자의 응답 데이터를 획득
🛡️ 대응 방법
Hono를 4.12.18 이상으로 업데이트
🔧 검증 코드
출력된 hono 버전이 4.12.18 미만이면 취약하므로 업데이트가 필요하고, 4.12.18 이상이면 패치가 적용된 것입니다.
npm ls hono 2>/dev/null | grep -E 'hono@'