CVE-2026-53659 in http4k
Zusammenfassung
von VulDB • 14.09.2026
http4k ist ein funktionales Toolkit für Kotlin-HTTP-Anwendungen. Vor den Versionen 4.51.0.0, 5.42.0.0 und 6.49.0.0 setzen ServerFilters.GZip, RequestFilters.GunZip sowie die zugrunde liegenden Gzip-Funktionen zur Dekomprimierung des Anfrage-Corpus keine Begrenzung für die dekomprimierte Größe fest. Ein nicht authentifizierter Client kann einen kleinen gzip-kodierten Anfrage-Corpus senden, der sich auf Gigabytes ausdehnt und den JVM-Heap erschöpft, wodurch anderen Clients der Dienst verweigert wird (Denial of Service). Die Korrektur verwendet SizeLimitedInputStream, um ein Standardlimit von 10 MiB durchzusetzen; ServerFilters.GZip und RequestFilters.GunZip geben dabei die HTTP-Antwort 413 Request Entity Too Large zurück, während andere Dekomprimierungspfade eine SizeLimitExceededException auslösen. Dieses Problem ist in den Versionen 4.51.0.0, 5.42.0.0 und 6.49.0.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.