Veille sécuritéBackend & données
P3Élevée
Une requête HTTP comportant un encodage compressé suivi d’octets résiduels peut provoquer une exception non interceptée et arrêter le processus Node.js utilisant body-parser. Les versions affectées sont antérieures à 1.20.9 dans la branche 1.x et de 2.0.0 à avant 2.4.0 dans la branche 2.x.
Node.js
IdentifiantCVE-2026-111181
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifbody-parser 2.4.0 ou 1.20.9
Source : NVD — CVE-2026-111181
Analyse technique
Après traitement du corps, des octets résiduels peuvent atteindre un flux de décompression déjà terminé, sans écouteur d’erreur, et déclencher une exception non interceptée.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-22 dans la période demandée; l’avis décrit une vulnérabilité et ses versions corrigées.
ImpactUn attaquant capable d’envoyer une requête traitée par body-parser peut faire terminer le processus de l’application, entraînant un déni de service.
Versions affectéesVersions antérieures à 1.20.9 et versions de 2.0.0 à avant 2.4.0.
Version corrigéebody-parser 2.4.0 ou 1.20.9
ContournementDésactiver l’inflation des corps de requête (option inflate: false), ce qui rejette les requêtes encodées.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Publication2026-10-22T17:17:04.763+02:00
Mise à jour2026-10-22T21:17:35.797+02:00
Action recommandée
Mettre à niveau vers body-parser 2.4.0, 1.20.9 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).