CVE-2025-13466
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
body-parser 2.2.0 jest podatny na odmowę usługi (DoS) z powodu nieefektywnego przetwarzania ciał żądań URL-encoded z bardzo dużą liczbą parametrów. Atakujący może wysłać ładunki zawierające tysiące parametrów w ramach domyślnego limitu 100 KB, powodując zwiększone zużycie CPU i pamięci.
Ocena ryzyka
Utrzymujący się złośliwy ruch może prowadzić do spowolnienia usługi lub częściowych awarii. Ryzyko dotyczy aplikacji Node.js korzystających z podatnej wersji body-parser.
Rekomendacja
Zaktualizuj body-parser do wersji 2.2.1, która zawiera poprawkę. Dodatkowo rozważ ograniczenie liczby parametrów w żądaniach na poziomie aplikacji lub proxy.
Inne podatności w body-parser
Zobacz wszystkie- CVE-2026-111181Wysokie
body-parser to middleware parsowania ciała żądań dla Node.js i Express. W wersjach przed 1.20.9 oraz od 2.0.0 przed 2.4.0 pojedyncze żądanie może spowodować awarię aplikacji używającej body-parser z domyślnymi opcjami. Gdy żądanie zawiera Content-Encoding, takie jak gzip, body-parser przekazuje je do strumienia dekompresji i po odczytaniu ciała pozostawia ten strumień bez nasłuchiwacza błędów; końcowe bajty trafiają do zakończonego dekodera, który emituje błąd rzucany jako nieprzechwycony wyjątek i kończy proces. Podatność naprawiono w body-parser 2.4.0 i 1.20.9.
- CVE-2026-12590Niskie
W bibliotece body-parser przed wersjami 1.20.6 i 2.3.0, nieprawidłowa wartość opcji limit (np. nieparsowalny string lub NaN) powoduje, że funkcja bytes.parse zwraca null, a kontrola rozmiaru treści żądania jest pomijana. Aplikacje polegające na limicie jako głównym zabezpieczeniu przed zbyt dużymi żądaniami akceptują dowolnie duże ładunki, prowadząc do nadmiernego zużycia pamięci i CPU oraz odmowy usługi.
Oryginalny opis (angielski, źródło NVD)
body-parser 2.2.0 is vulnerable to denial of service due to inefficient handling of URL-encoded bodies with very large numbers of parameters. An attacker can send payloads containing thousands of parameters within the default 100KB request size limit, causing elevated CPU and memory usage. This can lead to service slowdown or partial outages under sustained malicious traffic. This issue is addressed in version 2.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS