CVE-2026-111181

body-parser, Node.js ve Express için bir gövde ayrıştırma (body parsing) ara yazılımıdır. 1.20.9 öncesindeki sürümlerde ve 2.0.0 ile 2.4.0 arasındaki sürümlerde, tek bir istek, body-parser'ı varsayılan seçeneklerle kullanan herhangi bir uygulamayı çökertebilir. Bir istek gzip gibi bir Content-Encoding taşıdığında, body-parser bunu bir sıkıştırmayı açma akışına yönlendirir ve gövdeyi okuduktan sonra bu akışı herhangi bir hata dinleyicisi olmadan bırakır. Geçerli bir sıkıştırılmış çerçeveyi takip eden ek baytlardan oluşan bir yük çözülür ve uygulama normal şekilde yanıt verir; ancak ardından gelen ek baytlar zaten tamamlanmış olan çözücüye ulaşır, bu da yakalanamayan bir istisna olarak yeniden fırlatılan bir hata yayarak işlemin sonlandırılmasına neden olur. Gövde ayrıştırma işlemi yönlendirmeden önce çalıştığı için eşleşen bir rota gerekmez, dolayısıyla gövde ayrıştıran her uç nokta etkilenir. Sorun body-parser 2.4.0 ve 1.20.9 sürümlerinde düzeltilmiştir ve kullanıcıların bu sürümlerden birine veya daha güncel bir sürüme yükseltme yapması gerekir. Geçici bir çözüm olarak, kodlanmış isteklerin herhangi bir sıkıştırmayı açma akışı oluşturulmadan önce reddedilmesi için istek gövdesi şişirmeyi devre dışı bırakın (body-parser inflate seçeneğini false olarak ayarlayın).