body-parser 压缩请求尾部字节致进程崩溃漏洞

GitHub 安全公告库披露，使用默认配置的 body-parser 在请求带 Content-Encoding（如 gzip）时，会把请求体送入解压流；读取完请求体后该流仍保持管道连接且没有错误监听器。一个合法压缩帧后跟尾部字节的载荷会正常解码并返回响应，但尾部字节随后到达已结束的解码器，触发错误并以未捕获异常抛出，导致进程终止。公告称，单个请求即可使使用默认配置的应用崩溃，且解析在路由之前运行，无需认证或匹配路由。 该漏洞编号为 GHSA-27r3-jxmh-p828，已在 body-parser 2.4.0 和 1.20.9 中修复。公告建议，若应用不需要接收压缩请求体，可在 body-parser 中间件中传入 `inflate: false`。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。