Średni Odebrany

CVE-2026-110910

opublikowano: 27.10.2026, 08:16

modyfikacja: 27.10.2026, 08:16

Ocena CVSS

6.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

### Podsumowanie

`qs.stringify` z `allowEmptyArrays: true` zapisuje klucz pustej tablicy bez jego kodowania, mimo że klucze są domyślnie zakodowane. Klucz zawierający `&` (lub skonfigurowany `separator`), `=` lub `#` ∴ staje się składnią ciągu zapytania zamiast danych, więc nazwa klucza dostarczona przez wywołującego może dodać parametry do serializowanego ciągu zapytania lub go skrócić.

### Szczegóły

W `lib/stringify.js` gałąź `allowEmptyArrays` zwraca `justedPrefix + '[]'' wcześniej, przed kodem przepuszczającym każdy inny klucz przez `encoder` i `formatter`. Zatem `{ "x&k=v": ["1"] }` serializuje jako `x%26k%3Dv%5B0%5D=1`, ale `{ "x&k=v": [] }` serializuje jako `x&k=v[]`. Wczesny powrót ma zastosowanie na dowolnej głębokości (`{ "a": { "b&k=v": [] } }` daje `a[b&k=v][]`), w każdym `arrayFormat`, z `allowDots` i z niestandardowym `koderem`, który nigdy nie jest wywoływany dla tego klucza. W przypadku opcji `encode: false` lub `encodeValuesOnly: true` klucze na każdej ścieżce celowo pozostają niezakodowane; nie ma to wpływu na te konfiguracje.

#### PoC

```j

var qs = wymagaj("qs");

var zapytanie = qs.stringify({ q: "cześć", "x&apiKey=evil&y": [] }, {allowEmptyArrays: true });

// "q=cześć&x&apiKey=zło&y[]"

qs.parse(zapytanie);

// { q: "cześć", x: "", apiKey: "zło", y: [""] }

qs.stringify({ "x#": [], z: "1" }, { zezwolenieEmptyArrays: true });

// "x#[]&z=1": w adresie URL wszystko po "#" staje się fragmentem

```

#### Napraw

Zastosowane w 234d505 na `main` i wydane jako v6.17.0: klucz pustej tablicy przechodzi przez `encoder` i `formatter` dokładnie tak samo, jak klucz dowolnej innej wartości, więc `{ "x&apiKey=evil&y": [] }` jest teraz serializowany jako `x%26apiKey%3Devil%26y[]`. Klucze, które nie wymagają kodowania, są serializowane jak poprzednio, z dwoma wyjątkami pasującymi do każdej innej ścieżki: nawiasy zagnieżdżonego klucza są teraz kodowane („a[b][]” staje się „a%5Bb%5D[]”, które `qs.parse` czyta identycznie), a w przypadku `encodeDotInKeys` kropka w kluczu staje się `%252E` zamiast `%2E` (co „decodeDotInKeys” wcześniej błędnie odczytane jako zagnieżdżenie).

### Wersje, których dotyczy problem

`>=6.12.0 <6.17.0`, naprawiono w wersji 6.17.0.

Opcja `allowEmptyArrays` została wprowadzona w f22b2bc i po raz pierwszy wysłana w wersji 6.12.0, z tym wczesnym powrotem. Dotyczy to każdej wersji od 6.12.0 do 6.16.1. Wcześniejsze wersje nie mają opcji „allowEmptyArrays” i nie ma to na nią wpływu.

### Wpływ

Aplikacja, która przekazuje obiekt, którego nazwy kluczy pochodzą z niezaufanych danych wejściowych do `qs.stringify` za pomocą `allowEmptyArrays: true` (na przykład w celu przesłania przeanalizowanej treści JSON lub pól wybranych przez użytkownika do usługi nadrzędnej) może mieć wstrzyknięte parametry do wynikowego ciągu zapytania. Wstrzyknięte parametry nie są kluczami obiektu, więc usunięcie lub nadpisanie klucza na obiekcie (np. ustawienie zaufanego `apiKey` po skopiowaniu pól użytkownika) nie powoduje ich usunięcia; to, czy wartość atakującego, czy wygrana aplikacji, zależy od tego, jak strona odbierająca obsługuje zduplikowany parametr. `#` w takim kluczu kończy ciąg zapytania wcześniej, gdy wynik jest umieszczany w adresie URL. Opcja „allowEmptyArrays” jest domyślnie wyłączona i dotyczy to tylko kluczy, których wartość (po dowolnym „filtrze”) jest pustą tablicą.

### Summary

`qs.stringify` with `allowEmptyArrays: true` writes the key of an empty array without encoding it, even though keys are encoded by default. A key that contains `&` (or the configured `delimiter`), `=`, or `#` ∴ becomes query string syntax instead of data, so a caller-supplied key name can add parameters to the serialized query string, or cut it short.

### Details

In `lib/stringify.js`, the `allowEmptyArrays` branch returns `adjustedPrefix + '[]'` early, before the code that passes every other key through `encoder` and `formatter`. So `{ "x&k=v": ["1"] }` serializes as `x%26k%3Dv%5B0%5D=1`, but `{ "x&k=v": [] }` serializes as `x&k=v[]`. The early return applies at any depth (`{ "a": { "b&k=v": [] } }` gives `a[b&k=v][]`), under every `arrayFormat`, with `allowDots`, and with a custom `encoder`, which is never called for that key. With `encode: false` or `encodeValuesOnly: true`, keys are intentionally left unencoded on every path; those configurations are not affected.

#### PoC

```js

var qs = require("qs");

var query = qs.stringify({ q: "hi", "x&apiKey=evil&y": [] }, { allowEmptyArrays: true });

// "q=hi&x&apiKey=evil&y[]"

qs.parse(query);

// { q: "hi", x: "", apiKey: "evil", y: [""] }

qs.stringify({ "x#": [], z: "1" }, { allowEmptyArrays: true });

// "x#[]&z=1": in a URL, everything after "#" becomes the fragment

```

#### Fix

Applied in 234d505 on `main` and released as v6.17.0: the key of an empty array goes through `encoder` and `formatter` exactly as the key of any other value does, so `{ "x&apiKey=evil&y": [] }` now serializes as `x%26apiKey%3Devil%26y[]`. Keys that need no encoding serialize as before, with two exceptions that match every other path: the brackets of a nested key are now encoded (`a[b][]` becomes `a%5Bb%5D[]`, which `qs.parse` reads identically), and with `encodeDotInKeys`, a dot in the key becomes `%252E` instead of `%2E` (which `decodeDotInKeys` previously misread as nesting).

### Affected versions

`>=6.12.0 <6.17.0`, fixed in v6.17.0.

`allowEmptyArrays` was introduced in f22b2bc and first shipped in v6.12.0, with this early return. Every release from v6.12.0 through v6.16.1 is affected. Earlier versions have no `allowEmptyArrays` option and are not affected.

### Impact

An application that passes an object whose key names come from untrusted input to `qs.stringify` with `allowEmptyArrays: true` (for example, to forward a parsed JSON body or user-selected fields to an upstream service) can have parameters injected into the resulting query string. The injected parameters are not keys of the object, so deleting or overwriting a key on the object (such as setting a trusted `apiKey` after copying the user's fields) does not remove them; whether the attacker's value or the application's wins depends on how the receiving side handles a duplicate parameter. A `#` in such a key ends the query string early when the result is placed in a URL. `allowEmptyArrays` is off by default, and only keys whose value (after any `filter`) is an empty array are affected.

>_ Słabości (CWE)

CWE-116

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve