可以使用精心设计的 Content-Type 标头绕过 Hono CSRF 中间件 (CVE-2024-43787)

CVE编号

CVE-2024-43787

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-22

漏洞描述

Hono是一个Web应用程序框架，支持任何JavaScript运行时环境。Hono的CSRF中间件可以通过定制的Content-Type头绕过。MIME类型是不区分大小写的，但isRequestedByFormElementRe仅匹配小写。因此，攻击者可以使用大写表单样式的MIME类型绕过CSRF中间件。此漏洞已在4.5.8版本中修复。

解决建议

"将组件 hono 升级至 4.5.8 及以上版本"

参考链接
https://github.com/honojs/hono/blob/b0af71fbcc6dbe44140ea76f16d68dfdb32a99a0/...
https://github.com/honojs/hono/commit/41ce840379516410dee60c783142e05bb5a22449
https://github.com/honojs/hono/security/advisories/GHSA-rpfr-3m35-5vx5

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com