CVE-2026-111181— body-parser 压缩请求体拒绝服务漏洞
一分钟漏洞结论
影响对象
body-parser body-parser
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
body-parser 是用于 Node.js 和 Express 的请求体解析中间件。在 1.20.9 之前的版本，以及 2.0.0 至 2.4.0 之间的版本中，单个请求即可导致任何使用 body-parser 默认配置的应用程序崩溃。当请求携带如 gzip 之类的 Content-Encoding 头时，body-parser 会将其内容管道传输至一个解压缩流；在读取完请求体后，该解压缩流未设置错误监听器。若攻击者发送一个由“一个有效的压缩帧 + 后续尾随字节”组成的载荷，body-parser 会先正常解码
影响版本矩阵 4
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| body-parser | body-parser | 2.0.0< 2.4.0 |
affected |
2.4.0 |
unaffected | ||
< 1.20.9 |
affected | ||
1.20.9 |
unaffected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-111181 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
来源: CVE Program / CVE List V5
Vulnerability Description
body-parser is body parsing middleware for Node.js and Express. In versions before 1.20.9 and in versions from 2.0.0 before 2.4.0, a single request can crash any application using body-parser with default options. When a request carries a Content-Encoding such as gzip, body-parser pipes it into a decompression stream and, after reading the body, leaves that stream with no error listener. A payload of one valid compressed frame followed by trailing bytes decodes and the application responds normally, but the trailing bytes then reach the already-finished decoder, which emits an error that is re-thrown as an uncaught exception and terminates the process. No matching route is required because body parsing runs before routing, so any endpoint that parses a body is affected. The issue is fixed in body-parser 2.4.0 and 1.20.9, and users should upgrade to one of those versions or later. As a workaround, disable request-body inflation (set the body-parser inflate option to false) so encoded requests are rejected before any decompression stream is created.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
未捕获的异常
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| body-parser | body-parser | 2.0.0 ~ 2.4.0 | - |
|
二、漏洞 CVE-2026-111181 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-111181 的情报信息
请登录查看更多情报信息。
CVE-2026-111181 厂商安全公告 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-111181
暂无评论