CVE-2026-8723

Nome do Software Vulnerável e Versões Afetadas qs versões 6.11.1 até 6.15.1

Descrição A função stringify() lança um TypeError quando chamada com as opções arrayFormat: 'comma' e encodeValuesOnly: true em um array contendo elementos null ou undefined. Isso ocorre porque a função encode() em lib/utils.js tenta ler a propriedade length do elemento sem uma proteção contra nulos, ignorando opções relacionadas a nulos como skipNulls e strictNullHandling.

Em frameworks HTTP Node.js típicos, esse lançamento síncrono é capturado por limites de erro, resultando em um erro 500 para a requisição afetada. No entanto, se for chamado fora de um limite de erro de manipulador de requisição, como em tarefas de segundo plano ou caminhos de inicialização, pode fazer com que o processo do worker seja encerrado.

Recomendações Atualize para a versão 6.15.2. Como alternativa temporária, evite usar as opções arrayFormat: 'comma' e encodeValuesOnly: true simultaneamente ao processar arrays que possam conter valores null ou undefined.