CVE-2026-111181
WysokieCVSS 7.5Streszczenie
body-parser to middleware parsowania ciała żądań dla Node.js i Express. W wersjach przed 1.20.9 oraz od 2.0.0 przed 2.4.0 pojedyncze żądanie może spowodować awarię aplikacji używającej body-parser z domyślnymi opcjami. Gdy żądanie zawiera Content-Encoding, takie jak gzip, body-parser przekazuje je do strumienia dekompresji i po odczytaniu ciała pozostawia ten strumień bez nasłuchiwacza błędów; końcowe bajty trafiają do zakończonego dekodera, który emituje błąd rzucany jako nieprzechwycony wyjątek i kończy proces. Podatność naprawiono w body-parser 2.4.0 i 1.20.9.
Ocena ryzyka
Pojedyncze spreparowane żądanie może zatrzymać proces Node.js, powodując odmowę usługi. Ponieważ parsowanie ciała odbywa się przed routingiem, dotyczy to każdego punktu końcowego parsującego ciało żądania.
Rekomendacja
Zaktualizuj body-parser do wersji 2.4.0 lub 1.20.9 (lub nowszej). Jako obejście wyłącz inflację ciała żądania, ustawiając opcję inflate na false.
Inne podatności w body-parser
Zobacz wszystkie- CVE-2026-12590Niskie
W bibliotece body-parser przed wersjami 1.20.6 i 2.3.0, nieprawidłowa wartość opcji limit (np. nieparsowalny string lub NaN) powoduje, że funkcja bytes.parse zwraca null, a kontrola rozmiaru treści żądania jest pomijana. Aplikacje polegające na limicie jako głównym zabezpieczeniu przed zbyt dużymi żądaniami akceptują dowolnie duże ładunki, prowadząc do nadmiernego zużycia pamięci i CPU oraz odmowy usługi.
- CVE-2025-13466Średnie
body-parser 2.2.0 jest podatny na odmowę usługi (DoS) z powodu nieefektywnego przetwarzania ciał żądań URL-encoded z bardzo dużą liczbą parametrów. Atakujący może wysłać ładunki zawierające tysiące parametrów w ramach domyślnego limitu 100 KB, powodując zwiększone zużycie CPU i pamięci.
Oryginalny opis (angielski, źródło NVD)
body-parser is body parsing middleware for Node.js and Express. In versions before 1.20.9 and in versions from 2.0.0 before 2.4.0, a single request can crash any application using body-parser with default options. When a request carries a Content-Encoding such as gzip, body-parser pipes it into a decompression stream and, after reading the body, leaves that stream with no error listener. A payload of one valid compressed frame followed by trailing bytes decodes and the application responds normally, but the trailing bytes then reach the already-finished decoder, which emits an error that is re-thrown as an uncaught exception and terminates the process. No matching route is required because body parsing runs before routing, so any endpoint that parses a body is affected. The issue is fixed in body-parser 2.4.0 and 1.20.9, and users should upgrade to one of those versions or later. As a workaround, disable request-body inflation (set the body-parser inflate option to false) so encoded requests are rejected before any decompression stream is created.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS