CVE-2026-111181 in body-parser
요약
\~에 의해 VulDB • 2026. 10. 22.
body-parser는 Node.js 및 Express용 바디 파싱 미들웨어입니다. 1.20.9 이전 버전과 2.4.0 미만인 2.0.0 이상 버전에서, 기본 옵션을 사용하는 body-parser를 적용한 애플리케이션은 단일 요청으로 인해 충돌할 수 있습니다. 요청에 gzip과 같은 Content-Encoding이 포함된 경우, body-parser는 이를 압축 해제 스트림(pipes)로 전달하고 바디 읽기 후 해당 스트림에 에러 리스너 없이 종료합니다. 하나의 유효한 압축 프레임 뒤에 트레일링 바이트(trailing bytes)가 붙은 페이로드의 경우 디코딩은 정상적으로 이루어지고 애플리케이션도 정상 응답을 반환하지만, 이후 트레일링 바이트는 이미 완료된 디코더에 도달하여 에러를 발생시키며 이는 잡히지 않은 예외(uncaught exception)로 재던져져 프로세스가 종료됩니다. 일치하는 라우트가 필요하지 않습니다. body 파싱이 라우팅 전에 실행되므로, 바디를 파싱하는 모든 엔드포인트가 영향을 받습니다. 이 문제는 body-parser 2.4.0 및 1.20.9에서 수정되었으며, 사용자는 해당 버전 또는 그 이후 버전으로 업그레이드해야 합니다. 우회 방법으로 요청 본문 팽창(request-body inflation)을 비활성화(body-parser inflate 옵션을 false로 설정)하여 압축 해제 스트림이 생성되기 전에 인코딩된 요청을 거부하도록 할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.