O interware `languageDetector` é vulnerável à negação de serviço de complexidade algorítmica ao processar uma tag de linguagem criada contendo um grande número de subtags separados por hifens. Para implementar truncação progressiva com a marca de linguagem, `normalizeLanguage()` chama repetidamente `parts.slice( 0, i. join('-')` para cada prefixo possível. A quantidade total de processamento de string cresce quadraticamente com o número de subetiquetas. Os valores da linguagem podem vir de um parâmetro de consulta, cookie, cabeçalho `Accept-Language` ou caminho URL, dependendo da configuração do detector. A ordem padrão do detector permite a detecção de linhas de consulta, cookie e cabeçalho, para que os aplicativos usando `languageDetector()` possam expor este processamento a pedidos não autenticados.
Os limites de tamanho da solicitação reduzem o custo máximo de uma única solicitação, mas não eliminam o problema. Entradas aceitas por runtimes JavaScript comuns ainda podem causar bloqueio sincronizado notável do evento- loop. Um atacante pode enviar repetidamente pedidos contendo etiquetas de língua longas e separadas por guiões, causando um consumo excessivo da CPU e impedindo que pedidos não relacionados sejam processados. O impacto prático depende dos limites de tamanho do pedido, configuração do rótulo inverso e dos detectores habilitados pelo aplicativo.
A busca progressiva deve evitar reconstruir cada prefixo mais curto. A implementação pode, em vez disso, inspecionar os idiomas configurados suportados e selecionar o valor mais longo que corresponde à entrada em um limite de guião. Registro de aconselhamento: GHSA- 54 fx- 42 gc- 7 vw 4. Identificadores relacionados: CVE- 2026 - 71848. Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 07 T 18: 36: 31.000 Z e lista a sua última modificação como 2026 - 08 - 07 T 18: 36: 31.000 Z.
Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L. Software afetado e informações de versão: pacote npm hono — ECOSISTEM: introduzido 4.12.0, corrigido 4.12.34. Classificação e evidência: identificadores de fraqueza CWE- 407. O registro contém 4 suporte de referências nestes tipos: WEB, PACKAGE.