🇰🇷 한글 설명
Hono 4.12.12 미만 버전의 setCookie(), serialize(), serializeSigned() 함수에서 쿠키 이름을 검증하지 않아 제어 문자(
,
등)가 포함될 수 있습니다. 이로 인해 잘못된 Set-Cookie 헤더가 생성되며, Node.js나 Cloudflare Workers 같은 최신 런타임에서는 헤더 값이 거부되어 런타임 오류가 발생할 수 있습니다. 이는 헤더 인젝션보다는 서비스 가용성에 영향을 미치는 문제입니다.
💡 쉬운 설명
쿠키 이름을 만들 때 허용되지 않는 특수 문자가 섞여 들어갈 수 있는 보안 약점이 발견되었습니다. 이로 인해 웹 서버가 정상적으로 응답하지 못하고 오류가 발생하여 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Hono before 4.12.12 does not validate cookie names on the write path in the setCookie(), serialize(), and serializeSigned() functions, allowing invalid characters such as control characters (e.g. \r or \n) when an application passes a user-controlled cookie name. This can produce malformed Set-Cookie header values. In modern runtimes such as Node.js and Cloudflare Workers, such invalid header values are rejected and cause a runtime error before the response is sent, so header injection or response splitting could not be reproduced; the issue primarily affects correctness and robustness, resulting in runtime errors (availability) rather than confirmed header injection.
📍 영향받는 시스템
Hono versions before 4.12.12
⚔️ 공격 벡터
사용자가 제어 가능한 쿠키 이름을 입력값으로 전달하여 잘못된 헤더를 생성하게 함
🛡️ 대응 방법
Hono 라이브러리를 4.12.12 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에 hono 버전이 4.12.12 미만으로 표시되면 취약한 상태입니다.
npm list hono | grep -E 'hono@([0-3]\.|4\.(0|1|2|3|4|5|6|7|8|9|10|11)\.)'