CVE-2026-54288

Nome do Software Vulnerável e Versões Afetadas Hono versões anteriores a 4.12.25

Description O Body Limit Middleware confia no cabeçalho Content-Length para determinar se o corpo de uma requisição está dentro do limite permitido. Em ambientes como AWS Lambda (incluindo API Gateway v1/v2, ALB, VPC Lattice e Lambda@Edge), o corpo é entregue totalmente bufferizado e o adaptador reconstrói a requisição usando o Content-Length declarado pelo cliente, sem verificar se ele corresponde ao tamanho real do payload. Isso permite que um cliente especifique um Content-Length pequeno enquanto envia um corpo significativamente maior, ignorando o limite configurado. Quando o Content-Length está presente e o Transfer-Encoding está ausente, o middleware permite a requisição se o valor declarado for pequeno o suficiente. Isso pode levar ao aumento do consumo de CPU e memória por requisição, pois os handlers processam payloads excessivos, embora o impacto seja limitado pelos limites gerais de tamanho de requisição da plataforma.

Recommendations Atualizar para a versão 4.12.25.