GitHub 安全公告库 (GHSA)·· 4 小时前精选AI 评分78
body-parser 修复压缩请求体尾部字节导致的 DoS 漏洞
body-parser vulnerable to Denial of Service via trailing bytes after a compressed request body
AI 导读
GitHub 安全公告指出,使用默认配置的 body-parser 在请求带有 Content-Encoding(如 gzip)时,会把请求体送入解压流,读取完请求体后该流仍保持管道连接且没有错误监听器;一个合法压缩帧后跟尾部字节的载荷会正常解码并返回响应,但尾部字节随后到达已结束的解码器,触发错误并以未捕获异常抛出,导致进程终止。
为什么值得看
通告说明了默认配置下单个请求即可终止进程的触发条件,并给出 2.4.0 与 1.20.9 两个修复版本。
来源:GitHub 安全公告库 (GHSA) · github.com