CVE-2026-111181
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
body-parser to oprogramowanie pośredniczące do analizowania treści dla Node.js i Express. W wersjach wcześniejszych niż 1.20.9 i 2.0.0 wcześniejszych niż 2.4.0 pojedyncze żądanie może spowodować awarię dowolnej aplikacji korzystającej z analizatora treści z opcjami domyślnymi. Gdy żądanie zawiera kodowanie treści, takie jak gzip, analizator treści przesyła je do strumienia dekompresyjnego i po odczytaniu treści pozostawia ten strumień bez odbiornika błędów. Ładunek składający się z jednej prawidłowej skompresowanej ramki, po której następują końcowe bajty, dekoduje i aplikacja reaguje normalnie, ale końcowe bajty docierają następnie do już ukończonego dekodera, który generuje błąd, który jest ponownie zgłaszany jako nieprzechwycony wyjątek i kończy proces. Nie jest wymagana żadna pasująca trasa, ponieważ analizowanie treści odbywa się przed routingiem, więc ma to wpływ na każdy punkt końcowy analizujący treść. Problem został rozwiązany w wersjach body-parser 2.4.0 i 1.20.9, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Aby obejść ten problem, wyłącz inflację treści żądania (ustaw opcję inflowania treści żądania na wartość false), aby zakodowane żądania były odrzucane przed utworzeniem strumienia dekompresyjnego.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org