PT-2025-47951 · Unknown+1 · Body-Parser+1

Jean Burellier + 3 · Publicado 2025-11-24 · Atualizado 2026-06-05 · CVE-2025-13466

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.5

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:L/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Versões do body-parser anteriores à 2.2.1

Descrição O software é suscetível a uma condição de negação de serviço decorrente do processamento ineficiente de corpos de requisição codificados em URL contendo um grande número de parâmetros. Um atacante pode explorar isso enviando requisições com milhares de parâmetros dentro do limite de tamanho de requisição de 100KB, resultando em aumento do consumo de CPU e memória. Isso pode causar degradação do serviço ou indisponibilidade quando submetido a tráfego malicioso contínuo.

Recomendações Atualize para a versão 2.2.1 ou posterior.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2025-13466

GHSA-WQCH-XFXH-VRR4

Produtos afetados

Debian

Body-Parser

Referências · 16

• https://github.com/expressjs/body-parser/security/advisories/GHSA-wqch-xfxh-vrr4 · Aviso do Fabricante
• https://github.com/expressjs/body-parser/releases/tag/v2.2.1 · Nota
• https://github.com/expressjs/body-parser · Nota
• https://github.com/expressjs/body-parser/commit/b204886a6744b0b6d297cd0e849d75de836f3b63 · Nota
• https://cve.org/CVERecord?id=CVE-2025-13466 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-13466 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-13466 · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2025-13466 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-13466 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1993029992599507163 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wqch-xfxh-vrr4 · Aviso do Fabricante
• https://twitter.com/kom_256/status/1993027855039766978 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-13466 · Aviso do Fabricante
• https://t.me/CVEtracker/38108 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2025-13466 · Aviso do Fabricante