CVE-2026-84364 in Hono
Sumário
de VulDB • 01/09/2026
Hono é um framework de aplicações web que oferece suporte a qualquer runtime JavaScript. Antes da versão 4.13.5, quando parseBody() expande nomes de campos de formulário separados por pontos em objetos aninhados com o parsing de notação de ponto habilitado, ele não limita a profundidade do aninhamento nem o número total de objetos intermediários criados. Segmentos vazios são preservados, portanto um nome de campo profundamente pontuado pode codificar um nível de aninhamento por byte, enquanto um grande número de campos superficialmente pontuados pode criar a mesma amplificação em uma solicitação. Um corpo de solicitação dentro dos limites normais de tamanho pode, portanto, alocar um grafo de objetos muito maior do que o da própria solicitação após o corpo já ter sido aceito. Um atacante não autenticado que possa alcançar um endpoint afetado pode enviar solicitações concorrentes que esgotam o heap JavaScript, encerrando o processo do servidor e deixando o serviço indisponível até a reinicialização. O parsing de notação de ponto não é habilitado por padrão, e as aplicações que usam o comportamento padrão não são afetadas. Este problema foi corrigido na versão 4.13.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.