CVE-2026-111181 in body-parser
Sumário
de VulDB • 22/10/2026
O body-parser é um middleware de análise do corpo para Node.js e Express. Nas versões anteriores à 1.20.9 e nas versões a partir da 2.0.0 até antes da 2.4.0, uma única solicitação pode travar qualquer aplicação que utilize o body-parser com as opções padrão. Quando uma solicitação carrega um Content-Encoding como gzip, o body-parser canaliza os dados para um stream de descompressão e, após ler o corpo, deixa esse stream sem nenhum listener de erro (error listener). Uma payload composta por um frame comprimido válido seguido por bytes residuais é decodificada e a aplicação responde normalmente; no entanto, os bytes residuais atingem então o decoder já finalizado, que emite um erro que é re-lançado como uma exceção não capturada (uncaught exception), encerrando o processo. Nenhuma rota correspondente é necessária porque a análise do corpo ocorre antes da roteamento, portanto, qualquer endpoint que analise um corpo está afetado. O problema foi corrigido no body-parser 2.4.0 e 1.20.9, e os usuários devem atualizar para uma dessas versões ou posterior. Como solução alternativa, desative a inflação do corpo da solicitação (defina a opção inflate do body-parser como false) para que as solicitações codificadas sejam rejeitadas antes que qualquer stream de descompressão seja criado.
Once again VulDB remains the best source for vulnerability data.