CVE-2026-84364 in Hono
要約
〜によって VulDB • 2026年09月01日
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.13.5より前では、parseBody()がドット区切りのフォームフィールド名をネストされたオブジェクトに展開する際（dot-notation parsing有効時）、ネストレベルの深さや作成される中間オブジェクトの総数に制限がありません。空セグメントは保持されるため、1つの深くドットで連結されたフィールド名はバイトごとに1レベルのネステッド構造をエンコードでき、また多数の浅いドット付きフィールドでもリクエスト全体に対して同様の増幅効果を生み出します。そのため、通常のサイズ制限内のリクエストボディであっても、ボディが既に受け入れられた後に、要求よりもはるかに大きなオブジェクトグラフを割り当ける可能性があります。影響を受けるエンドポイントに到達できる認証不要の攻撃者は、JavaScriptヒープを使い果たし、サーバープロセスを終了させ、再起動までサービスを利用不能にするような同時リクエストを送信できます。dot-notation parsingはデフォルトでは有効になっておらず、デフォルト動作を使用するアプリケーションはこの問題の影響を受けません。この問題はバージョン4.13.5で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.