JVNDB-2025-026171

qs projectのqsにおける入力確認に関する脆弱性

qs（parseモジュール）の不適切な入力検証の脆弱性によりHTTP DoSが発生します。この問題はqsのバージョン6.14.1未満に影響します。概要として、qsのarrayLimitオプションは角括弧表記（a[]=1&a[]=2）には制限を適用せず、インデックス表記（a[0]=1）にのみ制限を適用していました。これは一貫性のバグであり、arrayLimitはすべての配列表記に均一に適用されるべきです。注意点として、デフォルトのparameterLimit（1000）が当初説明されたDoSシナリオを実質的に軽減します。デフォルトオプションでは、角括弧表記はarrayLimitに関わらずparameterLimitを超える配列を生成できません。これは各a[]=valueが1つのパラメータスロットを消費するためです。このため、深刻度は適宜軽減されています。詳細として、arrayLimitオプションはインデックス表記（a[0]=1&a[1]=2）にのみ制限をチェックし、角括弧表記（a[]=1&a[]=2）には適用していませんでした。脆弱なコード(lib/parse.js:159-162)は、if (root === '[]' && options.parseArrays) {obj = utils.combine([], leaf); // arrayLimitチェックなし}となっており、動作コード(lib/parse.js:175)はelse if (index = options.arrayLimit) {obj = []; obj[index] = leaf;}と記述されています。角括弧表記のハンドラ（159行目）はoptions.arrayLimitを検証せずにutils.combine([], leaf)を使用していますが、インデックス表記（175行目）はindex = options.arrayLimitをチェックしています。PoCは以下の通りです：const qs = require('qs'); const result = qs.parse('a[]=1&a[]=2&a[]=3&a[]=4&a[]=5&a[]=6', {arrayLimit: 5}); console.log(result.a.length); // 出力：6（最大5であるべき）。パラメータ制限の注意点として、元の勧告のDoSデモは長さ10,000と主張しましたが、parameterLimit（デフォルト1000）が解析パラメータを最大1,000に制限します。デフォルト設定の場合、実際の出力は10,000ではなく1,000になります。影響としては、arrayLimit適用の一貫性のバグであり、デフォルトのparameterLimitが既に解析パラメータ数（および角括弧表記からの配列要素数）を制限しているため、実際のDoSリスクはほとんどありません。リスクはparameterLimitを非常に高く設定した場合にのみ増加します。

qs project

• qs 6.14.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : arrayLimit bypass in bracket notation allows DoS via memory exhaustion  Advisory  ljharb/qs  GitHub

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2025-15284

1. National Vulnerability Database (NVD) : CVE-2025-15284
2. 関連文書 : [Fix] ensure arrayLength applies to `[]` notation as well  ljharb/qs@3086902  GitHub

• [2026年03月02日]
    掲載