CVE-2026-111181

Nome do Software Vulnerável e Versões Afetadas body-parser versões anteriores a 1.20.9 body-parser versões 2.0.0 até 2.3.x

Descrição Existe um problema onde uma única requisição pode travar qualquer aplicação que utilize as opções padrão. Quando uma requisição utiliza um Content-Encoding como gzip, o software a direciona para um fluxo de descompressão, mas não anexa um ouvinte de erro após a leitura do corpo. Se a carga útil contiver um quadro comprimido válido seguido de bytes residuais, a aplicação responde normalmente ao quadro válido, mas os bytes residuais acionam um erro no decodificador finalizado. Esse erro é relançado como uma exceção não capturada, encerrando o processo. Como a análise do corpo ocorre antes do roteamento, qualquer endpoint que analise um corpo é afetado.

Recomendações Atualize para a versão 1.20.9 ou posterior. Atualize para a versão 2.4.0 ou posterior. Como medida paliativa temporária, desative a inflação do corpo da requisição definindo a opção inflate como false para rejeitar requisições codificadas antes que um fluxo de descompressão seja criado.