لا يفرض الخيار `arrayLimit` في مكتبة qs الحدود بشكل صحيح عند تحليل القيم المفصولة بفاصلة مع تمكين الخيار `comma`. وهذا يتيح للمهاجمين إحداث حالة رفض الخدمة (DoS) عن طريق استنفاد موارد الذاكرة. تنشأ المشكلة لأن التحقق من الحد يحدث بعد منطق معالجة الفواصل، مما يسمح بالتحايل على قيود حجم المصفوفة المقصودة. وعلى وجه التحديد، تُرجع الدالة `split(’,‘)` المصفوفة على الفور، متجاهلةً التحقق من الحد الذي يلي ذلك. يمكن للمهاجم إرسال معلمة واحدة تحتوي على عدد كبير من الفواصل (على سبيل المثال، `?param=,,,,,,,,...`) لتخصيص مصفوفة ضخمة في الذاكرة، متجاوزًا الإعداد `arrayLimit`. يقع الكود المعرض للثغرة في `lib/parse.js`، الأسطر 40-50. يتم تجاوز التحقق من `arrayLimit` عندما يتم تعيين الخيار `comma` على القيمة true.