CVE-2026-126356

اسم البرنامج المصاب والإصدارات المتأثرة Hono الإصدارات من 4.5.1 إلى 4.13.15

Description تفشل الدالة validator('form') في التعرف بشكل صحيح على multipart/form-data عندما يحتوي رأس Content-Type على مسافات بيضاء إضافية بعد الفاصلة المنقوطة أو يتضمن معاملات قانونية إضافية، مثل charset. يحدث هذا لأن البرنامج يستخدم نمطًا صارمًا للرأس بالكامل لعملية التحقق. عندما يفشل النمط، يتلقى استدعاء التحقق (callback) كائنًا فارغًا، ومع ذلك لا يزال من الممكن تحليل جسم الطلب والوصول إليه بواسطة المعالج عبر c.req.parseBody() أو c.req.formData(). وبناءً على ذلك، يمكن لعميل غير مصرح له تجاوز فحوصات الحقول المطلوبة أو قوائم السماح إذا كان استدعاء التحقق يقبل كائنًا فارغًا. لا تؤثر هذه المشكلة على طلبات application/x-www-form-urlencoded.

Recommendations التحديث إلى الإصدار 4.13.16. كإجراء مؤقت، قم برفض الكائنات الفارغة في استدعاء validator('form') أو تحقق من نتيجة await c.req.parseBody() مباشرة في المعالج.