🇰🇷 한글 설명
Hono 프레임워크의 hono/jsx 구성 요소에서 서버 측 렌더링 시 요청별 컨텍스트 값이 격리되지 않는 취약점이 발견되었습니다. 이로 인해 비동기 컴포넌트에서 await 이후에 다른 진행 중인 요청의 데이터가 노출될 수 있습니다.
💡 쉬운 설명
웹사이트가 여러 명의 요청을 동시에 처리할 때, A라는 사용자의 정보가 B라는 사용자에게 잘못 전달될 수 있는 문제입니다. 서버가 작업을 기다리는 동안 다른 사람의 데이터와 섞일 위험이 있습니다.
🇺🇸 원문 (English)
Hono is a Web application framework that provides support for any JavaScript runtime. From 4.11.8 before 4.12.27, hono/jsx did not isolate context values per request during server-side rendering, allowing createContext, useContext, jsxRenderer, or useRequestContext data from a different in-flight request to be used after an await in an async component. This issue is fixed in version 4.12.27.
📍 영향받는 시스템
Hono framework (version 4.11.8 < 4.12.27)
⚔️ 공격 벡터
비동기 처리가 포함된 서버 측 렌더링 과정에서 다른 사용자의 컨텍스트 데이터를 탈취하거나 오용
🛡️ 대응 방법
Hono 프레임워크를 버전 4.12.27 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.12.27 미만인지 확인하여 취약 여부를 판단합니다.
npm list hono | grep hono
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server