Falha de negação de serviço no body-parser pode derrubar servidores com uma única requisição

O CVE-2026-111181 é uma falha de negação de serviço no middleware body-parser, do Express. Um cliente malicioso derruba o servidor com uma única requisição. O body-parser aceita corpos comprimidos por padrão, então a maioria das versões sem patch está exposta.

A causa raiz é que o stream de descompressão sobrevive ao parsing da requisição. Com inflate habilitado, a função contentstream() (chamada por read()) cria o stream e faz pipe da requisição para ele. Quando o corpo termina de ser lido, o body-parser chama next() enquanto a requisição continua ligada ao decoder, sem listener de erro nesse stream. Se o payload tiver um membro gzip válido, seguido de um byte zero e mais dados, o decoder conclui o membro mas não fecha. A raw-body devolve o conteúdo e remove seus listeners, inclusive o de erro. A aplicação responde normalmente. Os bytes restantes chegam ao decoder ainda aberto, que emite erro porque a descompressão já acabou. O único handler restante é o instalado pelo pipe(), que apenas reemite o erro. Sem listener, o Node trata como exceção não capturada e o processo cai.

Um app Express 4 ou 5 padrão se comporta do mesmo jeito que a reprodução mínima com node:http. Se o parser estiver montado globalmente antes da autenticação, a requisição nem precisa casar com rota válida ou passar por checagem de login. Espalhar poucas requisições por nós vulneráveis basta para derrubar um cluster com balanceamento de carga.

Versões afetadas: body-parser 2.0.0 até 2.3.0 (corrigido na 2.4.0) e 1.20.8 e anteriores (corrigido na 1.20.9). A correção é atualizar para 2.4.0 ou superior, ou 1.20.9 ou superior. Quem não precisa de corpos comprimidos pode definir inflate como false, o que rejeita requisições codificadas antes de criar o stream de descompressão. Esse paliativo rejeita corpos comprimidos, então quem precisa aceitá-los deve atualizar.

Para quem opera APIs em Express, o ponto sensível é a posição do body-parser na cadeia de middlewares. Se ele roda globalmente antes da autenticação, qualquer cliente anônimo alcança o código vulnerável. Vale conferir a versão instalada, inclusive em dependências transitivas, e decidir se a aplicação realmente precisa aceitar requisições comprimidas. É uma leitura editorial, mas o custo de desligar inflate costuma ser baixo para a maioria das APIs JSON.