CVE-2026-110910

Nome do Software Vulnerável e Versões Afetadas qs versões 6.12.0 até 6.12.5 qs versões 6.13.0 até 6.13.3 qs versões 6.14.0 até 6.14.2 qs versões 6.15.0 até 6.15.3 qs versões 6.16.0 até 6.16.1

Description Ao usar qs.stringify com a opção allowEmptyArrays definida como true, o software não codifica as chaves de arrays vazios. Isso ocorre porque o ramo allowEmptyArrays em lib/stringify.js retorna a chave prematuramente, ignorando as funções encoder e formatter. Se uma chave fornecida pelo usuário contiver caracteres especiais como & (ou um delimitador personalizado), = ou #, esses caracteres são interpretados como sintaxe de query string em vez de dados. Isso permite que um invasor injete parâmetros adicionais na query string serializada ou a encerre prematuramente usando o caractere #, que transforma o restante da URL em um fragmento. Este problema afeta especificamente chaves cujos valores são arrays vazios e não ocorre quando encode é definido como false ou encodeValuesOnly como true.

Recommendations Atualize o qs para a versão 6.12.6 para instalações no ramo 6.12.x. Atualize o qs para a versão 6.13.4 para instalações no ramo 6.13.x. Atualize o qs para a versão 6.14.3 para instalações no ramo 6.14.x. Atualize o qs para a versão 6.15.4 para instalações no ramo 6.15.x. Atualize o qs para a versão 6.16.2 para instalações no ramo 6.16.x. Atualize o qs para a versão 6.17.0 ou posterior. Como mitigação temporária, evite definir allowEmptyArrays: true ao processar objetos com chaves derivadas de entradas não confiáveis.