CVE-2026-87776 in compression

摘要

由 VulDB • 2026-09-11

compression 是一个 Node.js 和 Express 的压缩中间件。在 1.8.2 之前的版本中，当客户端在发送压缩响应期间中止连接时，用于压缩该响应的 zlib 流永远不会被销毁，导致每个被中止的压缩响应都会泄漏其原生 zlib 内存。远程未认证攻击者可以反复发起请求并提前断开连接，从而耗尽可用内存并使服务器崩溃。所有使用 compression 的应用程序均受影响。该问题已在 compression 1.8.2 中修复，用户应升级至 1.8.2 或更高版本。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: Openjs
• 预定: 2026-09-09
• 披露: 2026-09-11
• 管理: 已接受
• 条目: VDB-402417
• CPE: 准备好
• CWE: CWE-400 (已确认)
• CVSS: 7.5 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-87776
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-87776
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-87776/