honoにおける複数の脆弱性
| Title |
honoにおける複数の脆弱性
|
| Summary |
Honoは任意のJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。4.12.18以前のバージョンでは、JSXレンダラーがHTMLのstyle属性オブジェクトの値をエスケープしますが、CSSに対してはエスケープしません。そのため、styleオブジェクトの値やプロパティ名に信頼されていない入力がある場合、レンダリングされたstyle属性に追加のCSS宣言を注入することが可能です。この影響はCSSに限定されており、JavaScriptの実行やHTML属性の脱出は許されません。この脆弱性は4.12.18で修正されました。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 13, 2026, midnight |
| Registration Date |
May 15, 2026, 10:57 a.m. |
| Last Update |
May 15, 2026, 10:57 a.m. |
|
CVSS3.0 : 警告
|
| Score |
4.3
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N |
Affected System
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月15日]
掲載 |
May 15, 2026, 10:57 a.m. |
NVD Vulnerability Information
CVE-2026-44458
| Summary |
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.18, the JSX renderer escapes style attribute object values for HTML but not for CSS. Untrusted input in a style object value or property name can therefore inject additional CSS declarations into the rendered style attribute. The impact is limited to CSS and does not allow JavaScript execution or HTML attribute breakout. This vulnerability is fixed in 4.12.18.
|
| Publication Date |
May 14, 2026, 1:16 a.m. |
| Registration Date |
May 15, 2026, 4:21 a.m. |
| Last Update |
May 14, 2026, 3:32 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:hono:hono:*:*:*:*:*:node.js:*:* |
|
|
|
4.12.18 |
Related information, measures and tools
Common Vulnerabilities List