Phillip9587

compression is a Node.js and Express compression middleware. In versions before 1.8.2, when a client aborts the connection while a compressed response is still being sent, the zlib stream created to compress that response is never destroyed, so each aborted compressed response leaks its native zlib memory. A remote unauthenticated attacker can repeatedly open requests and disconnect early, exhausting the available memory and crashing the server. All applications using compression are affected. The issue is fixed in compression 1.8.2, and users should upgrade to 1.8.2 or later.

**Nome do Software Vulnerável e Versões Afetadas** body-parser versões anteriores a 1.20.6 body-parser versões anteriores a 2.3.0 **Descrição** Quando o parser é configurado com um valor de opção `limit` inválido, como uma string não analisável ou NaN (Not-a-Number), a verificação do tamanho do corpo da requisição é silenciosamente ignorada. Isso ocorre porque o mecanismo de análise interno retorna nulo, fazendo com que aplicações que dependem do parâmetro `limit` como sua principal salvaguarda aceitem cargas úteis arbitrariamente grandes. Isso pode levar ao consumo excessivo de memória e CPU, resultando em uma negação de serviço. **Recomendações** Atualize o body-parser para a versão 1.20.6 ou posterior. Atualize o body-parser para a versão 2.3.0 ou posterior. Valide o valor de `limit` antes de passá-lo ao parser, garantindo que o valor não seja nulo ou um número não finito durante a inicialização.