Hono vulnerable to Vary Header Injection leading to potential CORS Bypass
Summary
A flaw in the CORS middleware allowed request Vary headers to be reflected into the response, enabling attacker-controlled Vary values and potentially affecting cache behavior.
Details
The middleware previously copied the Vary header from the request when origin was not set to "*". Since Vary is a response header that should only be managed by the server, this could allow an attacker to influence caching behavior or cause inconsistent CORS handling.
Most environments will see impact only when shared caches or proxies rely on the Vary header. The practical effect varies by configuration.
Impact
May cause cache key pollution and inconsistent CORS enforcement in certain setups. No direct confidentiality, integrity, or availability impact in default configurations.
Resolution
Update to the latest patched release. The CORS middleware has been corrected to handle Vary exclusively as a response header.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | hono | < 4.10.3 | 4.10.3 |
Referencias
- https://github.com/honojs/hono/security/advisories/GHSA-q7jf-gf43-6x6p
- https://nvd.nist.gov/vuln/detail/CVE-2025-71381
- https://github.com/honojs/hono/commit/d9b8b4b73b4f997994f2764013207365fe711282
- https://github.com/honojs/hono
- https://www.vulncheck.com/advisories/hono-vary-header-injection-in-cors-middleware
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N- Debilidad (CWE)
CWE-444- Plataforma
- npm
- Paquete
hono- Publicada
- 24.10.2025
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-q7jf-gf43-6x6p - CC BY 4.0
Historial de vulnerabilidades: hono
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 52
- Primera → última
- 12.2023 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 7
- Media 41
- Baja 4
Divulgaciones por año
- 2023: 1
- 2024: 3
- 2025: 4
- 2026: 44
-
Hono vulnerable to Vary Header Injection leading to potential CORS Bypass esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.