v4.12.21

公開日: 2026-05-19T11:41:00.000Z リリース担当: yusukebe

概要

• このリリースには以下のセキュリティ修正が含まれます。

セキュリティ修正

• app.mount() がパーセントエンコードされたパスで不正なルーティングを引き起こすプレフィックス削除

  • 影響: app.mount()
  • 修正: デコード済みのパスではなく、生の URL pathname を使用してプレフィックスの削除を行うよう修正しました。マウントプレフィックスやパスにパーセントエンコードされた文字が含まれる場合、誤った位置でプレフィックスが削除され、サブアプリケーションが不正なパスを受け取る可能性がありました。
  • GHSA-2gcr-mfcq-wcc3

• IP Restriction が非正規の IPv6 に対して静的 deny ルールをバイパスする

  • 影響: hono/ip-restriction
  • 修正: 文字列等価での比較をやめ、IP アドレス比較を修正しました。圧縮表現や 16 進表記の IPv4 マップアドレスなどの非正規な IPv6 表現によって拒否対象のアドレスがバイパスされる可能性がありました。
  • GHSA-xrhx-7g5j-rcj5

• Cookie ヘルパーが sameSite と priority をサニタイズせず、Set-Cookie インジェクションを許す

  • 影響: hono/cookie
  • 修正: sameSite と priority オプションに対するインジェクション文字（;, ,, \r, \n）の検証を追加しました。これらのオプションにユーザー制御の入力が渡された場合、Set-Cookie レスポンスヘッダへ追加属性が注入される可能性がありました。
  • GHSA-3hrh-pfw6-9m5x

• JWT ミドルウェアが Bearer 以外の Authorization スキームを受け付ける

  • 影響: hono/jwt, hono/jwk
  • 修正: Authorization ヘッダのスキーム検証を追加しました。スキーム名に関係なく2パートのヘッダ値が受け入れられていたため、非 Bearer スキームが JWT 認証を通過してしまう可能性がありました。
  • GHSA-f577-qrjj-4474

推奨

• app.mount(), hono/ip-restriction, hono/cookie, hono/jwt / hono/jwk を使用しているユーザーは、このバージョンにアップグレードすることを推奨します。

その他

• Assets: 2
• リアクション: ❤️ 2、🚀 4