CVE-2026-53659 in http4k
Riassunto
di VulDB • 14/09/2026
http4k è un toolkit funzionale per applicazioni HTTP scritte in Kotlin. Prima delle versioni 4.51.0.0, 5.42.0.0 e 6.49.0.0, i filtri ServerFilters.GZip, RequestFilters.GunZip e le relative funzioni di decompressione del corpo della richiesta Gzip non impongono alcun limite alla dimensione dei dati decompressi. Un client non autenticato può inviare un corpo della richiesta compresso con gzip che si espande fino a raggiungere dimensioni dell'ordine dei gigabyte, esaurendo la heap JVM e negando il servizio ad altri clienti. La correzione utilizza SizeLimitedInputStream per imporre un limite predefinito di 10 MiB; fa sì che ServerFilters.GZip e RequestFilters.GunZip restituiscano lo stato HTTP 413 Request Entity Too Large, mentre gli altri percorsi di decompressione generano l'eccezione SizeLimitExceededException. Questo problema è risolto nelle versioni 4.51.0.0, 5.42.0.0 e 6.49.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.