CVE-2026-54288
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Framework Hono przed wersją 4.12.25 ma lukę w middleware Body Limit, który ufa nagłówkowi Content-Length żądania do określenia, czy ciało żądania mieści się w dozwolonym limicie. Na AWS Lambda, klient może zadeklarować mniejszy Content-Length, wysyłając jednocześnie większe ciało, co pozwala na obejście limitu.
Ocena ryzyka
Organizacje mogą być narażone na ataki, w których złośliwi klienci mogą przesyłać większe dane niż dozwolone, co może prowadzić do problemów z wydajnością lub bezpieczeństwem aplikacji.
Rekomendacja
Zaleca się aktualizację frameworka Hono do wersji 4.12.25 lub nowszej, aby usunąć tę podatność.
Inne podatności w Hono framework
Zobacz wszystkie- CVE-2026-54289Średnie
Hono to framework aplikacji webowych, który przed wersją 4.12.25 na AWS Lambda@Edge miał problem z wielokrotnymi nagłówkami żądań. Adapter zapisywał wartości nagłówków przy użyciu Headers.set, co powodowało nadpisywanie wcześniejszych wartości, a do aplikacji docierała tylko ostatnia z nich.
- CVE-2026-54287Średnie
Hono to framework aplikacji webowych, który wspiera dowolne środowisko JavaScript. W wersjach przed 4.12.25, na AWS Lambda, odpowiedzi ALB z pojedynczym nagłówkiem oraz odpowiedzi VPC Lattice v2 łączą wiele nagłówków Set-Cookie w jedną wartość oddzieloną przecinkami, co prowadzi do problemów z ich prawidłowym przetwarzaniem przez klientów.
Oryginalny opis (angielski, źródło NVD)
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.12.25, the Body Limit Middleware trusts the request's Content-Length header to decide whether a body is within the limit. On AWS Lambda (API Gateway v1/v2, ALB, VPC Lattice, and Lambda@Edge) the body is delivered fully buffered and the adapter builds the request with the client-declared Content-Length, which need not match the actual payload. A client can declare a tiny Content-Length while sending a much larger body, slipping past the limit. This vulnerability is fixed in 4.12.25.