🇰🇷 한글 설명
Hono는 모든 JavaScript 런타임을 지원하는 웹 애플리케이션 프레임워크입니다. 4.12.25 이전 버전에서는 credentials: true 설정과 명시적 origin이 없는 기본 와일드카드 상태에서 CORS 미들웨어가 요청의 Origin을 그대로 반사하고 Access-Control-Allow-Credentials: true를 전송합니다. 이로 인해 임의의 사이트가 인증 정보를 포함한 교차 출처 요청을 보내고 응답을 읽을 수 있어, 쿠키 기반 인증 엔드포인트가 외부에 노출됩니다.
💡 쉬운 설명
사용자가 로그인한 웹 서비스의 정보를 악성 사이트가 몰래 가져갈 수 있는 취약점입니다. 공격자는 피해자가 악성 페이지를 방문하게 하는 것만으로 민감한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, with credentials: true and no explicit origin (the default wildcard), the CORS Middleware reflects the request's Origin and sends Access-Control-Allow-Credentials: true. Any site can then make credentialed cross-origin requests and read the responses, exposing cookie-authenticated endpoints to arbitrary origins. This vulnerability is fixed in 4.12.25.
📍 영향받는 시스템
Hono 4.12.25 미만 버전을 사용하는 웹 애플리케이션 (credentials: true 및 기본 origin 설정 시)
⚔️ 공격 벡터
피해자가 악성 웹사이트를 방문하면, 해당 사이트가 Hono 서버에 인증 쿠키를 포함한 요청을 보내 응답 데이터를 탈취합니다.
🛡️ 대응 방법
Hono를 4.12.25 이상으로 업데이트하고, CORS 설정에서 origin을 허용할 도메인으로 명시적으로 지정하세요.
🔧 검증 코드
출력된 hono 버전이 4.12.25 미만이면 취약하며, 4.12.25 이상이면 패치가 적용된 것입니다.
npm ls hono 2>/dev/null | grep -E 'hono@'