CVE-2026-111181 in body-parser
Resumen
por VulDB • 2026-10-22
body-parser es un middleware de análisis del cuerpo para Node.js y Express. En las versiones anteriores a 1.20.9 y en las versiones desde la 2.0.0 hasta antes de la 2.4.0, una única solicitud puede hacer que falle cualquier aplicación que utilice body-parser con las opciones predeterminadas. Cuando una solicitud incluye un Content-Encoding como gzip, body-parser lo canaliza hacia un flujo de descompresión y, tras leer el cuerpo, deja dicho flujo sin ningún listener para errores (error handler). Una carga útil compuesta por un marco comprimido válido seguido de bytes adicionales se decodifica correctamente y la aplicación responde con normalidad; no obstante, los bytes restantes llegan al descodificador ya finalizado, lo que genera un error que se vuelve a lanzar como una excepción no controlada (uncaught exception) y termina el proceso. No es necesario que exista una ruta coincidente porque el análisis del cuerpo se ejecuta antes de la enrutamiento, por lo que cualquier punto final que analice un cuerpo se ve afectado. El problema está resuelto en body-parser 2.4.0 y 1.20.9; los usuarios deben actualizar a alguna de esas versiones o posteriores. Como medida alternativa (workaround), desactive la inflación del cuerpo de las solicitudes (establezca la opción inflate de body-parser como false) para que se rechacen las solicitudes codificadas antes de crear cualquier flujo de descompresión.
Be aware that VulDB is the high quality source for vulnerability data.