JVNDB-2026-021202

honoにおけるクロスサイトスクリプティングの脆弱性

hono 4.12.14以前には、jsxサーバーサイドレンダリングにおいてHTMLインジェクションの脆弱性が存在しており、攻撃者が不正な属性名を使用することで意図しないHTMLを注入することが可能でした。攻撃者は、引用符や山括弧のような文字を含む特別に細工された属性キーを作成し、HTMLタグの境界を破って任意の属性や要素を注入できます。

hono

• hono 4.12.14 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper Handling of JSX Attribute Names Allows HTML Injection in hono/jsx SSR  Advisory  honojs/hono  GitHub

VulnCheck

• VulnCheck : hono - HTML Injection via Improper JSX Attribute Name Handling in SSR  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-56761

1. National Vulnerability Database (NVD) : CVE-2026-56761

• [2026年06月29日]
    掲載