CVE-2025-15284
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece qs (moduł parse) polega na nieprawidłowej walidacji danych wejściowych — opcja arrayLimit nie była egzekwowana dla notacji nawiasowej (a[]=1&a[]=2), a jedynie dla notacji indeksowanej (a[0]=1). Pozwala to na tworzenie tablic większych niż zdefiniowany limit. Domyślna wartość parameterLimit (1000) w praktyce ogranicza skalę problemu.
Ocena ryzyka
Ryzyko ataku typu HTTP DoS jest niewielkie przy domyślnych ustawieniach, ponieważ parameterLimit ogranicza liczbę przetwarzanych parametrów. Zagrożenie wzrasta, gdy parameterLimit zostanie ustawiony na bardzo wysoką wartość, co może prowadzić do nadmiernego zużycia pamięci i zasobów serwera.
Rekomendacja
Zaktualizuj bibliotekę qs do wersji 6.14.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, upewnij się, że parameterLimit nie jest ustawiony na nadmiernie wysoką wartość.
Inne podatności w qs
Zobacz wszystkie- CVE-2026-110910Niskie
Podatność w bibliotece qs polega na tym, że przy opcji allowEmptyArrays: true klucz pustej tablicy jest zapisywany bez kodowania, mimo że domyślnie klucze są kodowane. Klucz zawierający znaki &, = lub # może wtedy wstrzyknąć dodatkowe parametry do serializowanego query stringa lub przedwcześnie go zakończyć. Problem dotyczy wersji od 6.12.0 do 6.12.5, od 6.13.0 do 6.13.3, od 6.14.0 do 6.14.2, od 6.15.0 do 6.15.3 oraz od 6.16.0 do 6.16.1.
- CVE-2026-110816Średnie
Podatność w bibliotece qs dotyczy funkcji qs.stringify z opcją arrayFormat: 'comma', która zgłasza wyjątek TypeError, gdy element tablicy nie może zostać przekonwertowany na string (np. obiekt z własnym niecallowalnym toString lub obiekt z prototypem null). Problem występuje w wersjach od 6.7.0 do 6.16.0 i został naprawiony w wersji 6.16.1. Wejście może pochodzić z niezaufanych źródeł, m.in. przez JSON.parse lub qs.parse z allowPrototypes: true.
- CVE-2026-82562Niskie
Podatność w bibliotece qs pozwala ominąć limit rozmiaru tablicy (arrayLimit) dla wartości rozdzielanych przecinkami, gdy używane są opcje comma: true i throwOnLimitExceeded: true. Dotyczy to kluczy w formie a[]=, gdzie wartość jest dzielona na tablicę bez sprawdzania limitu, co umożliwia alokację dowolnie dużej tablicy. Problem występuje w wersjach od 6.14.2 do 6.15.3 i został naprawiony w wersji 6.16.0.
- CVE-2026-82417Średnie
Funkcja `qs.stringify` w bibliotece qs rzuca wyjątek `TypeError`, gdy serializuje obiekt, którego własna właściwość `constructor` ma prawdziwą, ale niebędącą funkcją właściwość `isBuffer`. Sprawdzenie typu w `utils.isBuffer` wywołuje `obj.constructor.isBuffer(obj)` bez weryfikacji, czy jest to funkcja, co prowadzi do błędu. Podatność dotyczy wersji od 2.2.5 do 6.15.3, naprawiona w 6.16.0.
- CVE-2026-8723Średnie
Biblioteka qs w wersjach od 6.11.1 do 6.15.2 zawiera błąd, który powoduje synchroniczny wyjątek TypeError podczas wywołania qs.stringify z opcjami arrayFormat: 'comma' i encodeValuesOnly: true, gdy tablica zawiera element null lub undefined. Opcje skipNulls i strictNullHandling nie są wtedy respektowane, ponieważ błąd występuje przed ich sprawdzeniem. Podatność została naprawiona w wersji 6.15.2.
Oryginalny opis (angielski, źródło NVD)
Improper Input Validation vulnerability in qs (parse modules) allows HTTP DoS.This issue affects qs: < 6.14.1. Summary The arrayLimit option in qs did not enforce limits for bracket notation (a[]=1&a[]=2), only for indexed notation (a[0]=1). This is a consistency bug; arrayLimit should apply uniformly across all array notations. Note: The default parameterLimit of 1000 effectively mitigates the DoS scenario originally described. With default options, bracket notation cannot produce arrays larger than parameterLimit regardless of arrayLimit, because each a[]=valueconsumes one parameter slot. The severity has been reduced accordingly. Details The arrayLimit option only checked limits for indexed notation (a[0]=1&a[1]=2) but did not enforce it for bracket notation (a[]=1&a[]=2). Vulnerable code (lib/parse.js:159-162): if (root === '[]' && options.parseArrays) { obj = utils.combine([], leaf); // No arrayLimit check } Working code (lib/parse.js:175): else if (index <= options.arrayLimit) { // Limit checked here obj = []; obj[index] = leaf; } The bracket notation handler at line 159 uses utils.combine([], leaf) without validating against options.arrayLimit, while indexed notation at line 175 checks index <= options.arrayLimit before creating arrays. PoC const qs = require('qs'); const result = qs.parse('a[]=1&a[]=2&a[]=3&a[]=4&a[]=5&a[]=6', { arrayLimit: 5 }); console.log(result.a.length); // Output: 6 (should be max 5) Note on parameterLimit interaction: The original advisory's "DoS demonstration" claimed a length of 10,000, but parameterLimit (default: 1000) caps parsing to 1,000 parameters. With default options, the actual output is 1,000, not 10,000. Impact Consistency bug in arrayLimit enforcement. With default parameterLimit, the practical DoS risk is negligible since parameterLimit already caps the total number of parsed parameters (and thus array elements from bracket notation). The risk increases only when parameterLimit is explicitly set to a very high value.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS