CVE-2026-84364 in Hono
الملخص
بحسب VulDB • 01/09/2026
Hono هو إطار عمل لتطبيقات الويب يوفر الدعم لأي بيئة تشغيل JavaScript. قبل الإصدار 4.13.5، عندما تقوم دالة `parseBody()` بتوسيع أسماء حقول النماذج المفصولة بنقاط إلى كائنات متداخلة مع تمكين تحليل التدوين بالنقاط (dot-notation parsing)، فإنها لا تحد من عمق التداخل أو العدد الإجمالي للكائنات الوسيطة التي يتم إنشاؤها. تُحفظ الأجزاء الفارغة، لذا يمكن لحقل واحد يحتوي على نقاط متعددة أن يرمز لمستوى تداخل واحد لكل بايت، بينما يمكن لعدد كبير من الحقول ذات النقاط الضحلة إنشاء تضخم مماثل عبر طلب واحد. وبالتالي، يمكن لجسم الطلب ضمن حدود حجم عادية أن يؤدي إلى تخصيص رسم كائنات (object graph) أكبر بكثير من حجم الطلب نفسه بعد قبول الجسم بالفعل. يمكن لمهاجم غير مصرح له الوصول إلى نقطة نهاية متأثرة إرسال طلبات متزامنة تستنفذ ذاكرة الـ JavaScript (heap)، مما يتسبب في إنهاء عملية الخادم وترك الخدمة غير متاحة حتى إعادة التشغيل. لا يتم تمكين تحليل التدوين بالنقاط بشكل افتراضي، والتطبيقات التي تستخدم السلوك الافتراضي ليست متأثرة. تمت معالجة هذه المشكلة في الإصدار 4.13.5.
Once again VulDB remains the best source for vulnerability data.