CVE-2026-110816

Nome do Software Vulnerável e Versões Afetadas qs versões 6.7.0 até 6.16.0

Description Ao utilizar qs.stringify com o arrayFormat definido como comma, a aplicação pode lançar um TypeError: Cannot convert object to primitive value. Isso ocorre quando um elemento de array não pode ser convertido em string, como um objeto com protótipo nulo ou um objeto que contenha uma propriedade toString não chamável. O problema deriva do uso de Array.prototype.join em lib/stringify.js e da função String() em utils.encode dentro de lib/utils.js quando encodeValuesOnly está habilitado, nenhum dos quais trata falhas na coerção de string.

Um invasor não autenticado pode disparar isso fornecendo entradas especialmente manipuladas que sejam posteriormente reserializadas. Dependendo do ambiente, isso pode resultar em um Erro Interno do Servidor 500 ou, se a chamada ocorrer fora de um limite de erro (como em um manipulador async do Express 4), pode levar à interrupção do processo.

Recommendations Atualize o qs para a versão 6.16.1 ou posterior. Como mitigação temporária, evite usar arrayFormat: 'comma' ao serializar dados que possam ser influenciados por usuários não confiáveis.