GHSA-27r3-jxmh-p828 / CVE-2026-111181
WATRIX GUIDE
影響する
使用技術の兆候から要確認を案内Express / Node.jsの
Node.js や関連パッケージの版は外からは確定できません。2026年10月21日に Node.js のセキュリティ更新が出ており、Brotli の展開処理のメモリ破壊（CVE-2026-111497、プログラムを実行されるおそれ）、TLS のホスト名検証の回避（CVE-2026-105483 / CVE-2026-106069）、dns モジュールの不具合（CVE-2026-105482）など10件が修正されました。Node.js 20 と 25 はサポートが終わっているため、修正版は出ません。10月22日には、リクエストの本文を読む body-parser（CVE-2026-111181）とファイルアップロードの multer（CVE-2026-113872）に、サービスを止められる脆弱性も公表されています。multer には8月28日にも、細工したフィールド名（GHSA-535w-7cp7-47q4 / GHSA-wc9g-mqfw-jrwm）や、中断したアップロードでファイルが開いたままになること（GHSA-qfvm-cv95-jqjf）でサービスを止められる脆弱性3件が公表され、2.3.0 で修正されています。危ないかもしれないので、サーバで node -v を実行して Node.js の版を、package-lock.json で body-parser と multer の版を調べてください。
WATRIXが確認した関連解説です。公開元の原典とは区別して掲載しています。
日本語解説の確認：2026/10/28
影響を確かめるには
- 無料診断では、外部から見える技術の使用の兆候を調べます。バージョンや脆弱性への該当は確定できません。
- 管理画面やサーバ内の構成・設定を確認する必要があります。
対処の進め方
- Node.js を v26.12.1 / v24.22.1 / v22.23.4 以降へ更新してください（20 系・25 系は 22 系以降へ移行）。body-parser は修正済みの最新版へ、multer は 2.5.0 以降へ更新してください
- CVSS
- 7.5
- 公開元の公表日時
- 2026/10/24 5:53
- 公開元の更新日時
- 2026/10/24 5:53
- 当サイトの収集処理
- 2026/11/01 0:00
原典の説明
公開元の記載です。上のWATRIXの日本語解説と併せて、最新の情報をご確認ください。
body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
### Impact A single request can crash any application using `body-parser` with default options. When a request carries a `Content-Encoding` (for example `gzip`), `body-parser` pipes it into a decompression stream and, after reading the body, leaves that stream piped with no error listener. A payload of one valid compressed frame followed by trailing bytes decodes and the application responds normally, but the trailing bytes then reach the already-finished decoder, which emits an error that is re-thrown as an uncaught exception and terminates the process. No authentication or matching route is required, since parsing runs before routing. ### Patches Fixed in body-parser 2.4.0 and 1.20.9. Upgrade to one of these versions. ### Workarounds Pass `inflate: false` to the body-parser middleware if the application does not need to accept compressed request bodies. This rejects encoded requests before any decompression stream is created.
公開元の対処情報
個別の対処手順は未記録です。開発元の最新の案内と、対象の製品・系列に合う修正版を確認してください。
出典・著作権・ライセンスを確認する
- 出典
GitHub Advisory Database
- 利用許諾
CC-BY-4.0
- 利用条件
当サイトでの保存履歴
当サイトが取得した原本の履歴です。公開元での過去の改訂日時とは異なります。
初回保存のみです。訂正前の版はまだありません。
現在の保存内容2026/10/31 17:00
掲載中修正版あり
このページは公表情報を確認するためのデータです。製品を使っているだけで被害や脆弱性への該当が確定するものではありません。現在のバージョン、設定条件、開発元の更新情報を確認してください。