JVNDB-2026-023522

Open JS Foundationのbody-parserにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

影響: body-parserのバージョン1.20.6（1.x系）および2.3.0（2.x系）より前のバージョンでは、パーサーが解析不能な文字列やNaNのような無効なlimitオプション値で設定されている場合、bytes.parseはnullを返し、リクエストボディのサイズチェックが静かにスキップされます。limitを主な過大リクエストボディ保護策としているアプリケーションは、任意の大きさのペイロードを受け入れてしまい、過剰なメモリおよびCPU使用を引き起こし、サービス拒否（DoS）につながります。修正: この問題はbody-parser 1.20.6および2.3.0で修正されています。修正後は、無効なlimit値を強制的に無効化するのを静かに行う代わりに、パーサー構築時に明確なエラーをスローします。また、nullおよびundefinedは引き続きデフォルトの100kbのlimitにフォールバックします。回避策: limit値をbody-parserに渡す前に検証してください。例えば、起動時に値を解析し、その結果がnullまたは有限でない数値の場合は設定を拒否するようにしてください。

Open JS Foundation

• body-parser 1.20.6 未満
• body-parser 2.0.0 以上 2.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : body-parser vulnerable to denial of service when invalid limit value silently disables size enforcement  Advisory  expressjs/body-parser  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-12590

1. National Vulnerability Database (NVD) : CVE-2026-12590

• [2026年07月13日]
    掲載