Honoは、任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン1.1.0から4.10.2未満のHonoのJWT認証ミドルウェアには、組み込みのaud（オーディエンス）検証オプションがなく、そのため混乱代理人問題やトークンの混同問題が発生する可能性があります。複数のサービスが同じ発行者や鍵を共有している場合、APIが別のオーディエンス（例：別のサービス）向けに発行された有効なトークンを受け入れてしまうことがあります。これにより、意図しないクロスサービスアクセスが発生する可能性があります。Honoのドキュメントにはiss、nbf、iat、expの検証オプションのみが記載されており、audはサポートされていません。RFC 7519では、audクレームが存在する場合、そのクレームに処理側が自分自身を識別しなければトークンは拒否されるべきだと規定しています。この問題はバージョン4.10.2で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。