Express publica correções de segurança de outubro de 2026 para body-parser e multer

O Express publicou body-parser 2.4.0 e 1.20.9 e multer 2.5.0 para fechar duas falhas de negação de serviço classificadas como altas. Nos dois casos, uma única requisição sem autenticação derruba o processo Node.

No body-parser (CVE-2026-111181), afetam as versões >= 2.0.0 e < 2.4.0, além das anteriores à 1.20.9. Um corpo com um membro gzip válido seguido de bytes extras é decodificado normalmente, mas os bytes sobrando chegam ao stream de descompressão já finalizado. O stream emite um erro, e como só resta o listener que o pipe() do Node adiciona, vira exceção não tratada. O parsing roda antes do roteamento, então nem rota válida nem autenticação são necessárias. No multer (CVE-2026-113872), afetando >= 2.0.0 e < 2.5.0, o problema aparece com fileFilter assíncrono: se a requisição é abortada (por exemplo, um arquivo rejeitado) enquanto o filtro de outro arquivo ainda está pendente, o callback retoma um stream já destruído. O busboy emite erro sem listener e o processo encerra. Qualquer storage engine é afetado. Quem usa fileFilter síncrono não é.

O projeto também trata do CVE-2026-111497, uma escrita fora dos limites no decoder de Brotli publicada pelo Google. O Node.js embute esse decoder, e com as opções padrão express.json(), express.urlencoded() e os demais body parsers descomprimem corpos com Content-Encoding: br via zlib.createBrotliDecompress(). A recomendação é atualizar o Node.js para uma versão com o decoder corrigido. Só quem não consegue atualizar e não precisa de Brotli no corpo das requisições deve usar o workaround de rejeitar esse encoding na borda, antes de qualquer body parser. O crédito do relato vai para a Patch the Planet.

A história já vinha sendo acompanhada. Em 22 de outubro de 2026, o CEVIU noticiou "Node.js lança correções de segurança para as linhas 26.x, 24.x e 22.x, incluindo falha alta de RCE no decoder Brotli". Em 26 de outubro de 2026, veio "Falha crítica no decoder do Brotli, batizada de Broccoli2Shell, permite execução remota de código em Node.js, Bun e Envoy Proxy", e em 27 de outubro de 2026 a cobertura mostrou os patches de emergência em outros ecossistemas, como o .NET. Em 29 de outubro de 2026, o CEVIU publicou "Falha de negação de serviço no body-parser pode derrubar servidores com uma única requisição".

O que muda agora é o lado do Express: há versões corrigidas do body-parser e do multer, e o projeto posiciona oficialmente a atualização do Node.js como a correção real para o Brotli.

Para quem opera APIs em Express, o recado é atualizar em duas frentes: as dependências (body-parser e multer) e o runtime do Node.js. Atualizar só os pacotes não resolve o Brotli. Se você usa fileFilter assíncrono no multer, vale checar a versão com prioridade, já que o crash derruba o processo inteiro.