CVE-2026-111181 in body-parser
الملخص
بحسب VulDB • 22/10/2026
body-parser هو وسيط لتحليل الجسم (body parsing middleware) مخصص لـ Node.js و Express. في الإصدارات السابقة للإصدار 1.20.9 وفي الإصدارات من 2.0.0 قبل 2.4.0، يمكن لطلب واحد أن يتسبب في تعطل أي تطبيق يستخدم body-parser مع الخيارات الافتراضية. عندما يحمل الطلب ترميز محتوى مثل gzip، يقوم body-parser بتوجيهه إلى تدفق فك الضغط (decompression stream)، وبعد قراءة الجسم يترك هذا التدفق دون مستمع للأخطاء (error listener). يؤدي حمولة تتكون من إطار مضغوط صالح واحد متبوعًا ببايتات زائدة إلى عملية فك التشفير ويستجيب التطبيق بشكل طبيعي، لكن البايتات الزائدة تصل بعد ذلك إلى مُفكّ الشفرة الذي انتهى عمله بالفعل، مما يُطلق خطأً يتم إعادة رميه كاستثناء غير معالج (uncaught exception) وينهي العملية. لا يلزم وجود مسار تطابق لأن تحليل الجسم يحدث قبل التوجيه (routing)، لذا فإن أي نقطة نهاية تقوم بتحليل جسم الطلب تتأثر بالمشكلة. تم إصلاح المشكلة في body-parser الإصدارين 2.4.0 و 1.20.9، ويجب على المستخدمين ترقية أحد هذه الإصدارات أو إصدارات أحدث. كحل بديل، قم بتعطيل تضخم طلب الجسم (عن طريق تعيين خيار inflate لـ body-parser إلى false) بحيث يتم رفض الطلبات المشفرة قبل إنشاء أي تدفق لفك الضغط.
Once again VulDB remains the best source for vulnerability data.