🇰🇷 한글 설명
hono 4.13.7 미만 버전에서 hono/jsx를 통해 렌더링되는 특정 상황의 문자열에 대해 HTML 이스케이프 처리가 누락되는 취약점이 발견되었습니다. 공격자가 서버 측 렌더링 과정에서 제어 가능한 문자열을 주입할 경우, 임의의 HTML을 삽입하여 애플리케이션의 권한으로 스크립트를 실행할 수 있는 XSS 공격이 가능합니다.
💡 쉬운 설명
웹사이트를 만드는 도구인 hono의 특정 기능에서 글자를 안전하게 변환하지 못하는 문제가 있습니다. 이를 통해 해커가 악성 코드를 웹사이트에 몰래 심어 사용자의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
hono before 4.13.7 fails to HTML-escape plain strings rendered by hono/jsx as a child or fallback of Suspense, as a string child of ErrorBoundary alongside an asynchronous sibling, as the single child of a Context.Provider, or as the root value passed to renderToString() or renderToReadableStream() from hono/jsx/dom/server. These paths stringify their input and treat the result as already-escaped markup, so an attacker who controls such a string during server-side rendering can inject arbitrary HTML and execute script under the application's origin.
📍 영향받는 시스템
hono version < 4.13.7
⚔️ 공격 벡터
서버 측 렌더링(SSR) 시 Suspense, ErrorBoundary, Context.Provider 또는 renderToString/renderToReadableStream의 입력값으로 제어 가능한 문자열을 주입
🛡️ 대응 방법
hono 라이브러리를 4.13.7 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 hono의 버전이 4.13.7 미만인지 확인하십시오.
npm list hono | grep hono
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server