Key Points
- クロスリクエスト情報漏洩修正
- サーバーサイドXSS修正
- ヘッダ重複処理の不具合修正
Summary
v4.12.27 は複数のセキュリティ問題を修正したリリースです。影響は主にサーバーサイドレンダリング（SSR）周りのコンテキスト分離、JSXのクラス名処理によるXSS、及び AWS API Gateway v1 / VPC Lattice 用アダプタのヘッダ処理です。影響を受けるパッケージを使用している場合は速やかにアップグレードしてください。
Key Points
-
hono/jsx / hono/jsx-renderer: リクエストごとにコンテキストを分離していなかった問題を修正。async コンポーネント内で await 後に
useContext()/useRequestContext()が別リクエストの値を返す可能性があり、クロスリクエスト情報漏洩や誤った認可判定を引き起こす (GHSA-hvrm-45r6-mjfj)。 -
hono/css (cx()):
cx()が組み合わさったクラス名を既にエスケープ済みと扱っていたため、未検証のクラス名で SSR 時に属性を破ってマークアップ注入（XSS）される可能性があった (GHSA-w62v-xxxg-mg59)。 -
hono/aws-lambda: API Gateway v1 / VPC Lattice アダプタが繰り返しヘッダ値を部分文字列で重複排除してしまい、例えば
203.0.113.1が203.0.113.10の存在で消失するケースがあり、X-Forwarded-For 等を用いた IP 制限に影響した (GHSA-xgm2-5f3f-mvvc)。
Recommended actions
- 影響を受けるパッケージ（
hono/jsx,hono/jsx-renderer,hono/css,hono/aws-lambda）を使用している場合は v4.12.27 へアップグレードする。 - SSR コンポーネントで await を含む場合のコンテキスト使用を見直し、必要なら同期化/スコープ回避を行う。
- 外部入力をクラス名として使用している箇所を見直し、可能な限りサニタイズまたはホワイトリスト化する。
- X-Forwarded-For 等のヘッダ依存ロジックは、この修正後に期待通り動作するかを検証する。
Published: 2026-06-23T02:51:19.000Z Release: v4.12.27