CVE-2026-111181 in body-parser
要約
〜によって VulDB • 2026年10月22日
body-parser は Node.js および Express 用のボディ解析ミドルウェアです。バージョン 1.20.9 より前、およびバージョン 2.0.0 から 2.4.0 の間のバージョンでは、デフォルト設定を使用している body-parser を使用するアプリケーションが、単一のリクエストによってクラッシュする可能性があります。Content-Encoding（gzip など）を含むリクエストの場合、body-parser はそれを圧縮解除ストリームにパイプし、ボディの読み取り後にエラーリスナーなしでそのストリームを終了します。有効な圧縮フレーム 1 つとそれに続く末尾バイトからなるペイロードは正常にデコードされアプリケーションが通常どおり応答しますが、その後、末尾バイトはすでに終了したデコーダに到達し、これが捕捉されない例外として再スローされてプロセスを终止させます。一致するルートが必要ないのは、ボディ解析がルーティングの前に実行されるためです。したがって、ボディを解析するエンドポイントであればすべて影響を受けます。この問題は body-parser 2.4.0 および 1.20.9 で修正されており、ユーザーはこれらのバージョン以降にアップグレードする必要があります。回避策として、リクエストボディの展開（body-parser の inflate オプションを false に設定）を無効化し、圧縮解除ストリームが作成される前にエンコードされたリクエストを拒否します。
Once again VulDB remains the best source for vulnerability data.