CVE-2026-126356

Nome do Software Vulnerável e Versões Afetadas Hono versões 4.5.1 até 4.13.15

Description A função validator('form') não reconhece corretamente multipart/form-data quando o cabeçalho Content-Type contém espaços em branco extras após um ponto e vírgula ou inclui parâmetros legais adicionais, como charset. Isso ocorre porque o software utiliza um padrão rigoroso de cabeçalho completo para a validação. Quando o padrão falha, o callback de validação recebe um objeto vazio, mas o corpo da requisição ainda pode ser analisado e acessado pelo manipulador através de c.req.parseBody() ou c.req.formData(). Consequentemente, um cliente não autenticado pode ignorar verificações de campos obrigatórios ou listas de permissão se o callback de validação aceitar um objeto vazio. Este problema não afeta requisições application/x-www-form-urlencoded.

Recommendations Atualize para a versão 4.13.16. Como medida paliativa temporária, rejeite objetos vazios no callback validator('form') ou valide o resultado de await c.req.parseBody() diretamente no manipulador.