body-parserにサーバー停止の脆弱性―圧縮リクエストの処理を修正
Node.jsのWebアプリでリクエスト本文を読み取るライブラリが対象です。1系は1.20.9、2系は2.4.0へ更新し、間接依存と稼働先への反映も確認します。
脆弱性の公表日：2026-10-22 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
body-parserは、Node.jsのWebアプリでJSONなどのリクエスト本文を読み取るライブラリです。開発チームは2026年10月22日、既定の設定で単一のリクエストからプロセス停止につながるCVE-2026-111181を公表しました。
応答を返した後の展開エラーで停止する
圧縮されたリクエスト本文の読み取り後、展開用ストリームにエラー処理が残らないことが原因です。後続の余分なデータでエラーが発生すると未処理例外となり、通常の応答を返した後でもプロセスが終了します。
公式の影響範囲は1.20.9未満と、2.0.0以上2.4.0未満です。処理がルーティングより前に動くため、認証や一致するルートを必要としないと説明されています。利用アプリでは、外部入力がこの処理に届くかを確認します。
利用系列に合う修正版へ更新する
修正版は1.20.9と2.4.0です。編集部の提案として、まずlockfileと依存関係ツリーで実際の導入版を確認します。直接指定していない場合も、Webフレームワークなどから間接的に導入されていないか確認してください。
直接依存は対応する修正版へ更新し、間接依存は呼び出し元の更新案内と互換性を確認します。圧縮リクエストが不要ならinflate: falseを指定する公式の回避策もあります。圧縮された入力を拒否するため、利用クライアントへの影響を確認して適用します。
再配布後は後続リクエストも確認する
更新した依存関係とlockfileを配布し、アプリを再起動します。検証環境では、通常のJSON入力と、不正な圧縮入力を拒否した後にもプロセスが生存していることを確認します。圧縮入力を利用する構成では正常な入力が引き続き処理できるかも確かめます。
本記事の検証項目は編集部の提案です。公式報告は停止が起こり得ることを示しており、情報漏えいや実際の侵害を発表したものではありません。依存関係の更新だけで終えず、稼働先の導入版と動作確認結果を残します。
出典と編集について
body-parser開発チーム：CVE-2026-111181：圧縮リクエスト後の未処理エラー ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。