PT-2026-41469 · Npm · Qs
Joannalange
·
Publicado
2026-05-16
·
Atualizado
2026-05-26
·
CVE-2026-8723
CVSS v4.0
6.3
Média
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
qs versões 6.11.1 até 6.15.1
Descrição
A função
stringify() lança um TypeError quando chamada com as opções arrayFormat: 'comma' e encodeValuesOnly: true em um array contendo elementos null ou undefined. Isso ocorre porque a função encode() em lib/utils.js tenta ler a propriedade length do elemento sem uma proteção contra nulos, ignorando opções relacionadas a nulos como skipNulls e strictNullHandling.Em frameworks HTTP Node.js típicos, esse lançamento síncrono é capturado por limites de erro, resultando em um erro 500 para a requisição afetada. No entanto, se for chamado fora de um limite de erro de manipulador de requisição, como em tarefas de segundo plano ou caminhos de inicialização, pode fazer com que o processo do worker seja encerrado.
Recomendações
Atualize para a versão 6.15.2.
Como alternativa temporária, evite usar as opções
arrayFormat: 'comma' e encodeValuesOnly: true simultaneamente ao processar arrays que possam conter valores null ou undefined.Exploit
Correção
NULL Pointer Dereference
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Qs