CVE-2026-12590

CVSS 3.7v3.1pub. 2026-07-09upd. 2026-07-10

W wersjach body-parser wcześniejszych niż 1.20.6 (linia 1.x) i 2.3.0 (linia 2.x), gdy parser jest skonfigurowany z nieprawidłową wartością opcji limit (na przykład nieanalizowanym stringiem lub NaN), funkcja bytes.parse zwraca null i sprawdzenie rozmiaru request body'ego jest dyskretnie pomijane. Aplikacje opierające się na limit jako głównej ochronie przed oversized request bodies zaakceptują arbitralnie duże payloady, co prowadzi do nadmiernego zużycia pamięci i procesora oraz DoS. Błąd jest naprawiony w body-parser 1.20.6 i 2.3.0, gdzie nieprawidłowe wartości limit wyrzucają wyraźny błąd podczas budowy parsera zamiast dyskretnie wyłączać enforcement, podczas gdy null i undefined nadal używają domyślnego limitu 100kb.

▸ Pokaż oryginał (EN)

Impact: In body-parser versions prior to 1.20.6 (1.x line) and 2.3.0 (2.x line), when the parser is configured with an invalid limit option value such as an unparseable string or NaN, bytes.parse returns null and the request body size check is silently skipped. Applications that rely on limit as their primary safeguard against oversized request bodies will accept arbitrarily large payloads, leading to excessive memory and CPU usage and denial of service. Patches: This issue is fixed in body-parser 1.20.6 and 2.3.0. After the fix, invalid limit values throw a clear error at parser construction time instead of silently disabling enforcement, while null and undefined continue to fall back to the default limit of 100kb. Workarounds: Validate the limit value before passing it to body-parser. For example, parse the value at startup and reject any configuration where the result is null or a non-finite number.