CVE-2026-8723

إصدارات qs من 6.11.1 إلى 6.15.1

تُحدث الدالة stringify() خطأً من نوع TypeError عند استدعائها مع الخيارين arrayFormat: ’comma‘ وencodeValuesOnly: true على مصفوفة تحتوي على عناصر null أو undefined. يحدث هذا لأن الدالة encode() في ملف lib/utils.js تحاول قراءة الخاصية length للعنصر دون حماية من القيمة null، متجاوزةً بذلك الخيارات المتعلقة بالقيمة null مثل skipNulls وstrictNullHandling.

في أطر عمل HTTP النموذجية لـ Node.js، يتم التقاط هذا الخطأ المتزامن بواسطة حدود الأخطاء، مما يؤدي إلى ظهور خطأ 500 للطلب المتأثر. ومع ذلك، إذا تم استدعاء الدالة خارج حدود أخطاء معالج الطلبات، مثل المهام التي تُنفَّذ في الخلفية أو مسارات بدء التشغيل، فقد يتسبب ذلك في إنهاء عملية العامل.

قم بالتحديث إلى الإصدار 6.15.2.

كحل مؤقت، تجنب استخدام الخيارين arrayFormat: ’comma‘ وencodeValuesOnly: true في آن واحد عند معالجة المصفوفات التي قد تحتوي على قيم null أو undefined.