HonoはあらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。4.11.4より前のバージョンにおいて、HonoのJWK/JWKS JWT検証ミドルウェアには、JWTヘッダーで指定されたアルゴリズムが選択されたJWKで明示的に定義されていない場合に署名検証に影響を及ぼす脆弱性が存在しました。これにより、JWTのアルゴリズム混乱が可能となり、特定の設定下では偽造トークンを受け入れてしまう恐れがありました。JWK/JWKS JWT検証ミドルウェアは、トークン検証時に非対称アルゴリズムの明示的な許可リストを要求するように更新されました。ミドルウェアはもはや信頼できないJWTヘッダー値から検証アルゴリズムを導出しません。この脆弱性はバージョン4.11.4で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。