CVE-2026-84364— Hono parseBody 无界嵌套内存耗尽漏洞
一分钟漏洞结论
影响对象
honojs hono
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Hono 是一个支持任意 JavaScript 运行时环境的 Web 应用框架。在 4.13.5 之前的版本中，当启用点号分隔的表单字段名解析（dot-notation parsing）时， 会将以点分隔的字段名扩展为嵌套对象，但未对嵌套深度或创建的中间对象总数设置限制。由于空段会被保留，单个带有大量点号的字段名可以通过每个字节引入一层嵌套；而包含大量浅层点号字段的请求体也能产生类似的内存放大效应。因此，一个处于正常大小限制内的请求体在被接受后，可能分配出远大于请求体本身大小的对象图。能够访问受影响端点的未认证攻击
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-84364 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Hono: Unbounded dot-notation nesting in `parseBody()` can cause memory exhaustion
来源: CVE Program / CVE List V5
Vulnerability Description
Hono is a Web application framework that provides support for any JavaScript runtime. Prior to 4.13.5, when parseBody() expands dot-separated form field names into nested objects with dot-notation parsing enabled, it does not limit the nesting depth or the total number of intermediate objects created. Empty segments are preserved, so one deeply dotted field name can encode one nesting level per byte, while a large number of shallowly dotted fields can create the same amplification across a request. A request body within a normal size limit can therefore allocate an object graph far larger than the request after the body has already been accepted. An unauthenticated attacker who can reach an affected endpoint can send concurrent requests that exhaust the JavaScript heap, terminate the server process, and leave the service unavailable until restart. Dot-notation parsing is not enabled by default, and applications using the default behavior are not affected. This issue is fixed in version 4.13.5.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
未加控制的资源消耗(资源穷尽)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-84364 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-84364 的情报信息
请登录查看更多情报信息。
CVE-2026-84364 其他参考 (3)
-
https://github.com/honojs/hono/releases/tag/v4.13.5 x_refsource_MISC
-
https://github.com/honojs/hono/security/advisories/GHSA-g6gw-c38x-mqfc x_refsource_CONFIRM
同批安全公告 · honojs · 2026-09-01 · 共 3 条
| CVE-2026-84365 | 6.5 MEDIUM | Hono SSG文件路径穿越漏洞 |
| CVE-2026-84363 | 5.9 MEDIUM | Hono 查询解析器错误读取 URL 片段后的参数 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-84364
暂无评论