CVE-2026-84364

Hono, herhangi bir JavaScript çalışma zamanı için destek sağlayan bir Web uygulama çerçevesidir. 4.13.5 sürümünden önce, nokta notasyonu ayrıştırması etkinleştirildiğinde parseBody() fonksiyonu nokta ile ayrılmış form alanı adlarını iç içe geçmiş nesnelere genişletirken, iç içe geçme derinliğini veya oluşturulan toplam ara nesne sayısını sınırlamamaktadır. Boş bölümler korunduğu için, derinlemesine noktalanmış tek bir alan adı bayt başına bir iç içe geçme düzeyi kodlayabilirken, çok sayıda sığ noktalı alan da bir istek genelinde aynı amplifikasyonu oluşturabilir. Bu nedenle, normal boyut sınırları içindeki bir istek gövdesi, gövde kabul edildikten sonra isteğin kendisinden çok daha büyük bir nesne grafiği tahsis edebilir. Etkilenen bir uç noktaya erişebilen kimliği doğrulanmamış bir saldırgan, JavaScript yığınını tüketen, sunucu işlemini sonlandıran ve servis yeniden başlatılana kadar hizmet dışı bırakan eşzamanlı istekler gönderebilir. Nokta notasyonu ayrıştırması varsayılan olarak etkin değildir ve varsayılan davranışı kullanan uygulamalar etkilenmemektedir. Bu sorun 4.13.5 sürümünde düzeltilmiştir.