CVE-2026-53659 in http4k
要約
〜によって VulDB • 2026年09月14日
http4kは、Kotlin製HTTPアプリケーション向けの関数型ツールキットです。バージョン4.51.0.0、5.42.0.0、および6.49.0.0より前では、ServerFilters.GZip、RequestFilters.GunZip、および基盤となるGzipリクエストボディの解凍機能に、解凍後のサイズ制限が設けられていません。認証されていないクライアントは、ギガバイト単位まで展開されるような小さなgzipエンコードされたリクエストボディを送信し、JVMヒープを枯渇させて他のクライアントへのサービス提供を拒否（DoS）することができます。修正版では、SizeLimitedInputStreamを使用してデフォルトの10 MiB制限を適用し、ServerFilters.GZipおよびRequestFilters.GunZipがHTTP 413 Request Entity Too Largeを返すようにするとともに、その他の解凍パスでSizeLimitExceededExceptionをスローするようにしています。この問題はバージョン4.51.0.0、5.42.0.0、および6.49.0.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.