CVEウォッチ

CVE-2026-29085: HonoフレームワークにおけるSSE制御フィールドインジェクションの脆弱性について

March 5, 2026 ·

概要

Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。この度、HonoのStreaming Helper機能に含まれるstreamSSE()メソッドにおいて、SSE（Server-Sent Events）のevent、id、retryフィールドに対する入力検証が不十分である脆弱性（CVE-2026-29085）が報告されました。

SSEプロトコルでは、フィールドの区切り文字として改行が使用されます。本脆弱性では、キャリッジリターン（CR: r）やラインフィード（LF: n）といった改行文字が適切に処理されないため、信頼できない入力がこれらのフィールドに渡された場合、攻撃者によって追加のSSEフィールドが同じイベントフレーム内に挿入される可能性があります。

この問題は、Honoのバージョン4.12.4で修正されています。

影響範囲

  • 対象製品: Hono Webアプリケーションフレームワーク
  • 対象バージョン: バージョン4.12.4より前のすべてのバージョン
  • 影響を受ける機能: streamSSE()メソッドを使用している場合

想定される影響

本脆弱性が悪用された場合、攻撃者はSSEストリームに任意のフィールドを挿入し、クライアント側のアプリケーションの動作に予期せぬ影響を与える可能性があります。これにより、以下のような事態が引き起こされる可能性があります。

  • クライアント側での誤ったイベント処理やデータの解釈
  • 意図しない情報が表示される、または処理される
  • 場合によっては、クライアント側のアプリケーションの不安定化やサービス拒否につながる可能性

攻撃成立条件・悪用状況

本脆弱性の攻撃が成立するためには、アプリケーションがstreamSSE()メソッドを使用しており、かつevent、id、retryフィールドに信頼できない、または適切にサニタイズされていない入力が渡される必要があります。

現在のところ、この脆弱性の具体的な悪用状況は報告されていません。

推奨対策

今すぐできる対策

  • Honoのアップデート: Honoをバージョン4.12.4以降に速やかにアップデートしてください。これにより、本脆弱性が修正されます。

中長期的な対策

  • 入力検証の徹底: ユーザーからの入力や外部システムからのデータなど、信頼できない可能性のあるすべての入力に対して、常に厳格なサニタイズとバリデーションを実施してください。特に、改行文字（CR/LF）や特殊文字の処理には注意を払い、ホワイトリスト方式で許可された文字のみを受け入れるように実装を検討してください。
  • セキュリティパッチ適用プロセスの確立: 使用しているライブラリやフレームワークの脆弱性情報を定期的に収集し、迅速にパッチを適用できる体制を確立してください。

一時的な緩和策

Honoのバージョンアップがすぐに実施できない場合、streamSSE()メソッドに渡すevent、id、retryフィールドの入力に対して、アプリケーション側で明示的に改行文字（CR/LF）を除去または適切にエスケープ処理を行うことで、一時的にリスクを軽減できる可能性があります。

確認方法

  • Honoのバージョン確認: プロジェクトのpackage.jsonファイルや依存関係管理ツールで、現在使用しているHonoのバージョンを確認してください。
  • コードベースのレビュー: アプリケーションコード内でstreamSSE()メソッドが使用されている箇所がないか、またそのメソッドに渡されるevent、id、retryフィールドの入力が適切に処理されているかを確認してください。

参考情報