Hono - это фреймворк веб-приложений, который обеспечивает поддержку любой среды выполнения JavaScript. До 4.13.16 csrf() ограничивает валидацию исходного кода до типов контента, обычно отправляемых формами HTML, и, следовательно, не проверяет текстовые/пинг-запросы, генерируемые аудитом гиперссылок Chromium. Chrome и Edge могут отправлять сертификаты POST без предварительного полета CORS через действие < a ping & gt;, а промежуточное программное обеспечение затем пропускает проверки Origin и Sec-Fetch-Site.
Фиксированное тело запроса ограничивает эксплуатацию изменяющими состояние конечными точками, эффект которых выбирается путем или строкой запроса и не зависит от представленных данных тела. Файл cookie пользователя должен сопровождать запрос, который обычно требует происхождения одного и того же сайта или файла cookie, настроенного с помощью SameSiteNone, и Firefox по умолчанию не отправляет пинги аудита гиперссылок. Эта проблема исправлена в версии 4.13.16.
Показать оригинальное описание (EN)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.13.16, csrf() limits origin validation to the content types normally sent by HTML forms and therefore does not validate text/ping requests generated by Chromium hyperlink auditing. Chrome and Edge can send a cross-origin credentialed POST without a CORS preflight through an <a ping> action, and the middleware then skips both Origin and Sec-Fetch-Site checks. The fixed request body limits exploitation to state-changing endpoints whose effect is selected by the path or query string and does not depend on submitted body data. The user's cookie must accompany the request, which generally requires a same-site origin or a cookie configured with SameSite=None, and Firefox does not send hyperlink-auditing pings by default. This issue is fixed in version 4.13.16.
Характеристики атаки
Последствия
Строка CVSS v3.1