CVE-2026-111181 in body-parser
Zusammenfassung
von VulDB • 22.10.2026
body-parser ist eine Middleware zur Analyse von Anfragekörpern für Node.js und Express. In Versionen vor 1.20.9 sowie in den Versionen ab 2.0.0 bis vor 2.4.0 kann eine einzelne Anfrage jede Anwendung, die body-parser mit Standardoptionen verwendet, zum Absturz bringen. Wenn eine Anfrage eine Content-Encoding wie gzip enthält, leitet body-parser diese an einen Dekomprimierungsstream weiter und lässt diesen Stream nach dem Lesen des Körperinhalts ohne Fehler-Listener zurück. Ein Payload aus einem gültigen komprimierten Frame gefolgt von nachgestellten Bytes wird dekodiert, und die Anwendung antwortet normal; jedoch erreichen die nachgestellten Bytes den bereits abgeschlossenen Decoder, der einen Fehler ausgibt, der als nicht abgefangene Ausnahme neu ausgelöst wird und den Prozess beendet. Es ist keine passende Route erforderlich, da die Analyse des Anfragekörpers vor dem Routing stattfindet, sodass jeder Endpunkt betroffen ist, der einen Körper analysiert. Das Problem wurde in body-parser 2.4.0 und 1.20.9 behoben; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Als Workaround sollte die Aufblähung von Anfragekörpern deaktiviert werden (indem die body-parser inflate-Option auf false gesetzt wird), sodass codierte Anfragen abgelehnt werden, bevor ein Dekomprimierungsstream erstellt wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.