There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - ### Summary `qs.stringify` with `arrayFormat: 'comma'` throws `TypeError: Cannot convert object to
    primitive value` when an array element cannot be coerced to a string, such as an object with an own non-
    callable `toString` (`{ "toString": "x" }`) or a null-prototype object. The comma format joins array
    elements with `Array.prototype.join` and, under `encodeValuesOnly`, first passes each element through
    `String()` in `utils.encode`; neither guards against an element whose string coercion fails. ### Details
    In `lib/stringify.js`, the comma branch collapses the array with `obj.join(',')`. For an element whose own
    `toString` is not callable, `ToPrimitive` skips it, falls through to `Object.prototype.valueOf` (which
    returns the object itself), and throws. Under `encodeValuesOnly: true`, the same element first reaches
    `String(str)` in `utils.encode` (`lib/utils.js`) and throws there. Nested arrays (`{ "a": [[{ "toString":
    "x" }]] }`) throw the same way, through `Array.prototype.toString`. The `indices`, `brackets`, and
    `repeat` formats walk into object elements instead of coercing them, and are not affected. Such elements
    can come from untrusted input. `JSON.parse` produces `{ "a": [{ "toString": "x" }] }` with no qs option
    involved. `qs.parse("a[0][toString]=x", { allowPrototypes: true })` keeps the `toString` key, and
    `qs.parse("a[][b]=c", { plainObjects: true })` produces a null-prototype element; the default parse
    options drop `toString` and produce ordinary objects, which do not throw. Express 4's default `query
    parser`, Express 5's `extended` query parser, and body-parser's `urlencoded({ extended: true })` all call
    `qs.parse` with `allowPrototypes: true`. #### PoC ```js var qs = require("qs");
    qs.stringify(JSON.parse("{\"a\":[{\"toString\":\"x\"}]}"), { arrayFormat: "comma" });
    qs.stringify(qs.parse("a[0][toString]=x", { allowPrototypes: true }), { arrayFormat: "comma" });
    qs.stringify(qs.parse("a[][b]=c", { plainObjects: true }), { arrayFormat: "comma", encodeValuesOnly: true
    }); // TypeError: Cannot convert object to primitive value ``` #### Fix Applied in a952e75 on `main` and
    released as v6.16.1: an element whose string coercion would fail is coerced to its primitive `valueOf`, if
    any, or else to `Object.prototype.toString`, so it renders as `[object Object]`, the same as any other
    object element already does under the comma format. Nested arrays are walked the way `join` walks them.
    Every input that did not previously throw serializes exactly as before, and a `toString` or `valueOf` that
    itself throws still propagates. ### Affected versions `>=6.7.0 <6.16.1`, fixed in v6.16.1. The `join` path
    was introduced with the comma format in b84acba and first shipped in v6.7.0; v6.6.x and earlier ignore
    `arrayFormat: 'comma'` and are not affected. The `encodeValuesOnly` `String()` site was introduced in
    4c4b23d (v6.11.1); before that, the same input throws at `join`. Every release from v6.7.0 through v6.16.0
    is affected. ### Impact An unauthenticated request can make any code path that re-serializes attacker-
    influenced data with `qs.stringify` and `arrayFormat: 'comma'` (for example, rebuilding a query string
    from `req.query` for a redirect or an upstream request, or serializing a parsed JSON body) throw
    synchronously. In a typical Node.js HTTP framework the throw is caught by the framework error boundary and
    the affected request returns a 500; the process survives and other requests are unaffected. Where the call
    runs outside an error boundary, such as an `async` Express 4 handler (where the throw becomes an unhandled
    promise rejection) or a bare `http` request handler, the process exits, so the impact in that case depends
    on the application error handling rather than on qs. The default `arrayFormat` (`indices`) is not
    affected. (CVE-2026-110816)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ### 摘要 'qs.stringify' 與 'arrayFormat： 'comma'' 會擲回 'TypeError： 無法將物件轉換為原始值'，當陣列元素無法強制轉換為字串時，例如具有自己的不可呼叫 'toString' （'{ toString： x }'） 的物件或 null 原型物件。逗號格式將陣列元素與「Array.prototype.join」連接起來，並在「encodeValuesOnly」下，首先透過「utils.encode」中的「String（）」傳遞每個元素;兩者都無法防止字串強制執行失敗的元素。### 詳細資料 在 'lib/stringify.js' 中，逗號分支會以 'obj.join（'，'）' 折疊陣列。對於自己的 'toString' 不可呼叫的元素，'ToPrimitive' 會跳過它，流向 'Object.prototype.valueOf' （傳回物件本身） ，然後擲回。在 'encodeValuesOnly： true' 下，同一元素首先到達 'utils.encode' （'lib/utils.js'） 中的 'String（str）' 並擲回那裡。巢狀陣列 （'{ a： [[{ toString：
    x }]] }'） 透過 'Array.prototype.toString' 以相同的方式擲出。'indices'、'brackets' 和 'repeat' 格式會進入物件元素，而不是強制它們，並且不受影響。此類元素可能來自不受信任的輸入。'JSON.parse' 產生 '{ a： [{ toString： x }] }'，不涉及 qs 選項。'qs.parse（a[0][toString]=x， { allowPrototypes： true }）' 保留 'toString' 鍵，'qs.parse（a[][b]=c， { plainObjects： true }）' 產生 null-prototype 元素;預設的剖析選項會刪除「toString」並產生普通物件，這些物件不會拋出。Express 4 的預設「query parser」、Express 5 的「extended」查詢剖析器以及 body-parser 的「urlencoded（{ extended： true }）」都以「allowPrototypes： true」呼叫「qs.parse」。#### PoC '''js var qs = require（qs）;
    qs.stringify（JSON.parse（{\a\：[{\toString\：\x\}]}）， { arrayFormat： 逗號 }）;
    qs.stringify（qs.parse（a[0][toString]=x， { allowPrototypes： true }）， { arrayFormat： 逗號 }）;
    qs.stringify（qs.parse（a[][b]=c， { plainObjects： true }）， { arrayFormat： comma， encodeValuesOnly： true}）;TypeError：無法將物件轉換為原始值 ''' #### 修正 在 a952e75 中的 'main' 中應用並作為 v6.16.1 發布：字串強制失敗的元素被強制為其原始 'valueOf'（如果有），否則被強制為 'Object.prototype.toString'，因此它呈現為 '[object Object]'，與逗號格式下的任何其他物件元素相同。巢狀陣列的遍歷方式是「加入」遍歷它們。
    之前未擲出的每個輸入都會像以前一樣序列化，而本身擲出的「toString」或「valueOf」仍會傳播。### 受影響的版本「>=6.7.0 <6.16.1」，在 v6.16.1 中修正。「加入」路徑是在 b84acba 中以逗號格式引入的，並首次在 v6.7.0 中發布;v6.6.x 和更早版本會忽略 'arrayFormat： 'comma''，不會受到影響。'encodeValuesOnly' 'String（）' 網站是在 4c4b23d （v6.11.1） 中引入的;在此之前，相同的輸入會在「加入」時擲回。從 v6.7.0 到 v6.16.0 的每個版本都會受到影響。### 影響 未經身份驗證的請求可以使任何具有 'qs.stringify' 和 'arrayFormat： 'comma'' 重新序列化受攻擊者影響資料的程式碼路徑 （例如，從 'req.query' 重建重新導向或上游請求的查詢字串，或序列化剖析的 JSON 內文） 同步擲回。在一般Node.js HTTP架構中，架構錯誤界限會攔截擲回，而受影響的要求會傳回 500;處理程序會持續運作，其他要求不會受到影響。如果呼叫在錯誤邊界之外執行，例如「非同步」Express 4 處理常式 （擲回會變成未處理的 Promise 拒絕） 或裸露的「http」要求處理常式，則處理程序會結束，因此在此情況下的影響取決於應用程式錯誤處理，而不是 qs。預設的 'arrayFormat' （'indices'） 不受影響。（CVE-2026-110816）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ### 汇总 “qs.stringify” with 'arrayFormat： 'comma'' 抛出“TypeError： Cannot convert object to primitive value”：当数组元素无法强制转换为字符串时，例如具有自己的不可调用“toString”（'{ toString： x }'） 的对象或 null 原型对象。逗号格式将数组元素与“Array.prototype.join”连接起来，并在“encodeValuesOnly”下，首先将每个元素传递给“utils.encode”中的“String（）”;两者都不会防止字符串强制失败的元素。### 详细信息 在“lib/stringify.js”中，逗号分支会以“obj.join（'，'）”折叠数组。对于自己的“toString”不可调用的元素，“ToPrimitive”会跳过它，回退到 'Object.prototype.valueOf'（返回对象本身），然后掷回。在“encodeValuesOnly： true”下，同一元素首先到达“utils.encode”（“lib/utils.js”）中的“String（str）”并掷回该处。嵌套数组 （'{ a： [[{ toString：
    x }]] }'）通过“Array.prototype.toString”以相同的方式抛出。“indices”、“brackets”和“repeat”格式走入对象元素，而不是强制它们，因此不受影响。此类元素可能来自不受信任的输入。“JSON.parse”生成不涉及 qs 选项的“{ a： [{ toString： x }] }”。'qs.parse（a[0][toString]=x， { allowPrototypes： true }）' 保留 'toString' 键，'qs.parse（a[][b]=c， { plainObjects： true }）' 产生 null-prototype 元素;默认解析选项会删除“toString”并生成不会抛出的普通对象。Express 4 的默认“query parser”、Express 5 的“extended”查询解析器以及 body-parser 的“urlencoded（{ extended： true }）”均通过“allowPrototypes： true”调用“qs.parse”。#### PoC '''js var qs = require（qs）;
    qs.stringify（JSON.parse（{\a\：[{\toString\：\x\}]}）， { arrayFormat：逗号 }）;
    qs.stringify（qs.parse（a[0][toString]=x， { allowPrototypes： true }）， { arrayFormat： comma }）;
    qs.stringify（qs.parse（a[][b]=c， { plainObjects： true }）， { arrayFormat： comma， encodeValuesOnly： true}）;TypeError：无法将对象转换为原始值“' #### 修复 在”main“的 a952e75 中应用并作为 v6.16.1 发布：字符串强制将失败的元素被强制到其原始”valueOf“（如果有）或者”Object.prototype.toString“，因此它呈现为”[object Object]“，与逗号格式下的任何其他对象元素相同。嵌套数组按照“join”遍历的方式遍历。
    之前未抛出的每个输入都会像以前一样序列化，而自身抛出的“toString”或“valueOf”仍会传播。### 受影响的版本 '>=6.7.0 <6.16.1'，已在 v6.16.1 中修复。“join”路径在 b84acba 中以逗号格式引入，并首先在 v6.7.0 中随附;v6.6.x 和较早版本会忽略 'arrayFormat： 'comma''，因此不会受到影响。“encodeValuesOnly”“String（）”站点在 4c4b23d （v6.11.1） 中引入;在此之前，相同的输入会在“join”时抛出。从 v6.7.0 到 v6.16.0 的所有版本均受到影响。### 影响 未经身份验证的请求可导致任何使用“qs.stringify”和“arrayFormat：”逗号“重新序列化受攻击者影响的数据的代码路径（例如，从”req.query“重建重定向或上游请求的查询字符串，或序列化解析的 JSON 正文）同步抛出。在典型的 Node.js HTTP 框架中，框架错误边界会捕获掷回，受影响的请求会返回 500;进程会正常运行，其他请求不受影响。如果调用在错误边界之外运行，例如“异步”Express 4 处理程序（其中掷回变成未处理的承诺拒绝）或裸“http”请求处理程序，则进程会退出，因此该情况下的影响取决于应用程序错误处理方式，而不是 qs。默认“arrayFormat”（“indices”）不受影响。（CVE-2026-110816）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ### サマリー 「arrayFormat: 'comma' 付きの「qs.stringify」は、独自の呼び出し不可能な「toString」(「{ toString: x }')や null プロトタイプオブジェクト」のあるオブジェクトなど、配列要素を文字列に強制できないとき、「TypeError: Cannot convert object to primitive value」をスローします。コンマ形式は、配列要素を「Array.prototype.join」で結合し、「encodeValuesOnly」の下で、最初に各要素を「utils.encode」の「String()」に通します。どちらも、文字列強制が失敗する要素に対しては防御しません。### 詳細 「lib/stringify.js」で、コンマブランチが配列を「obj.join(',')」で折りたたみます。独自の 'toString' が呼び出し可能でない要素の場合、「ToPrimitive」はそれをスキップし、「Object.prototype.valueOf」(オブジェクト自体を返す)にフォールスルーしてスローします。「encodeValuesOnly: true」では、同じ要素が最初に「utils.encode」(「lib/utils.js」)の「String(str)」に到達し、そこでスローされます。ネスト化された配列 ('{ a: [[{ toString:
    x }]] }') を同じ方法で「Array.prototype.toString」を通してスローします。「インデックス」、「括弧」、および「repeat」形式は、オブジェクト要素を強制するのではなく、オブジェクト要素に侵入し、影響を受けません。このような要素は、信頼できない入力から発生する可能性があります。「JSON.parse」は、qs オプションを関係せずに「{ a: [{ toString: x }] }」を生成します。「qs.parse(a[0][toString]=x, { allowPrototypes: true })」は「toString」キーを保持し、「qs.parse(a[][b]=c, { plainObjects: true })」は null-prototype 要素を生成します。デフォルトの解析オプションは「toString」をドロップし、スローしない通常のオブジェクトを生成します。Express 4 のデフォルトの「query parser」、Express 5 の「extended」クエリパーサー、および body-parser の「urlencoded({ extended: true })」はすべて、「allowPrototypes: true」で「qs.parse」を呼び出します。#### PoC '''js var qs = require(qs);
    qs.stringify(JSON.parse({\a\:[{\toString\:\x\}]}), { arrayFormat: コンマ });
    qs.stringify(qs.parse(a[0][toString]=x, { allowPrototypes: 真 }), { arrayFormat: コンマ });
    qs.stringify(qs.parse(a[][b]=c, { plainObjects: true }), { arrayFormat: comma, encodeValuesOnly: true});TypeError:オブジェクトをプリミティブな値に変換できません ''' #### 修正 「main」の a952e75 に適用され、v6.16.1 としてリリースされました:文字列の強制が失敗する要素は、プリミティブな「valueOf」(存在する場合)または「Object.prototype.toString」に強制されます。このため、「[object Object]」としてレンダリングされます。これは、コンマ形式での他のオブジェクト要素がすでに行っているのと同じです。ネスト化された配列は、「join」が移動する方法で移動します。
    以前にスローしなかったすべての入力は以前とまったく同じようにシリアル化され、それ自体がスローされる「toString」または「valueOf」は依然として伝播します。### 影響を受けるバージョン「>=6.7.0 <6.16.1」、v6.16.1 で修正済み。「join」パスは b84acba のコンマ形式で導入され、v6.7.0 で最初に出荷されました。v6.6.x 以前は「arrayFormat: 'comma'」を無視し、影響を受けません。「encodeValuesOnly」「String()」サイトが 4c4b23d(v6.11.1)で導入されました。その前に、同じ入力が「join」でスローされます。v6.7.0 から v6.16.0 のすべてのリリースが影響を受けます。### 影響 認証されていないリクエストにより、「qs.stringify」および「arrayFormat: 'comma」で攻撃者の影響を受けたデータを再シリアル化する任意のコードパス(たとえば、リダイレクトまたはアップストリームリクエストの「req.query」からのクエリ文字列の再構築、または解析済みのJSON本文のシリアル化)が同期的にスローする可能性があります。通常のNode.js HTTPフレームワークでは、スローがフレームワークのエラー境界によってキャッチされ、影響を受けるリクエストは500を返します。プロセスは存続し、その他のリクエストは影響を受けません。「async」Express 4 ハンドラー(ここで throw が処理されない promise の拒否になる)や裸の「http」リクエストハンドラーなどのエラー境界の外で呼び出しが実行される場合は、プロセスが終了します。この場合の影響は、qs ではなくアプリケーションのエラー処理に依存します。デフォルトの「arrayFormat」(「indices」)は影響を受けません。(CVE-2026-110816)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ### Summary `qs.stringify` with `arrayFormat: 'comma'` throws `TypeError: Cannot convert object to     primitive value` when an array element cannot be coerced to a string, such as an object with an own non-     callable `toString` (`{ toString: x }`) or a null-prototype object. The comma format joins array     elements with `Array.prototype.join` and, under `encodeValuesOnly`, first passes each element through     `String()` in `utils.encode`; neither guards against an element whose string coercion fails. ### Details     In `lib/stringify.js`, the comma branch collapses the array with `obj.join(',')`. For an element whose own     `toString` is not callable, `ToPrimitive` skips it, falls through to `Object.prototype.valueOf` (which     returns the object itself), and throws. Under `encodeValuesOnly: true`, the same element first reaches     `String(str)` in `utils.encode` (`lib/utils.js`) and throws there. Nested arrays (`{ a: [[{ toString:
    x }]] }`) throw the same way, through `Array.prototype.toString`. The `indices`, `brackets`, and     `repeat` formats walk into object elements instead of coercing them, and are not affected. Such elements     can come from untrusted input. `JSON.parse` produces `{ a: [{ toString: x }] }` with no qs option     involved. `qs.parse(a[0][toString]=x, { allowPrototypes: true })` keeps the `toString` key, and     `qs.parse(a[][b]=c, { plainObjects: true })` produces a null-prototype element; the default parse     options drop `toString` and produce ordinary objects, which do not throw. Express 4's default `query     parser`, Express 5's `extended` query parser, and body-parser's `urlencoded({ extended: true })` all call     `qs.parse` with `allowPrototypes: true`. #### PoC ```js var qs = require(qs);
    qs.stringify(JSON.parse({\a\:[{\toString\:\x\}]}), { arrayFormat: comma });
    qs.stringify(qs.parse(a[0][toString]=x, { allowPrototypes: true }), { arrayFormat: comma });
    qs.stringify(qs.parse(a[][b]=c, { plainObjects: true }), { arrayFormat: comma, encodeValuesOnly: true     }); // TypeError: Cannot convert object to primitive value ``` #### Fix Applied in a952e75 on `main` and     released as v6.16.1: an element whose string coercion would fail is coerced to its primitive `valueOf`, if     any, or else to `Object.prototype.toString`, so it renders as `[object Object]`, the same as any other     object element already does under the comma format. Nested arrays are walked the way `join` walks them.
    Every input that did not previously throw serializes exactly as before, and a `toString` or `valueOf` that     itself throws still propagates. ### Affected versions `>=6.7.0 <6.16.1`, fixed in v6.16.1. The `join` path     was introduced with the comma format in b84acba and first shipped in v6.7.0; v6.6.x and earlier ignore     `arrayFormat: 'comma'` and are not affected. The `encodeValuesOnly` `String()` site was introduced in     4c4b23d (v6.11.1); before that, the same input throws at `join`. Every release from v6.7.0 through v6.16.0     is affected. ### Impact An unauthenticated request can make any code path that re-serializes attacker-     influenced data with `qs.stringify` and `arrayFormat: 'comma'` (for example, rebuilding a query string     from `req.query` for a redirect or an upstream request, or serializing a parsed JSON body) throw     synchronously. In a typical Node.js HTTP framework the throw is caught by the framework error boundary and     the affected request returns a 500; the process survives and other requests are unaffected. Where the call     runs outside an error boundary, such as an `async` Express 4 handler (where the throw becomes an unhandled     promise rejection) or a bare `http` request handler, the process exits, so the impact in that case depends     on the application error handling rather than on qs. The default `arrayFormat` (`indices`) is not     affected. (CVE-2026-110816)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
477592	SCA: security update for qs (GHSA-6pq8-jhm2-2vcw)	Tenable Self-Hosted Container Security	SCA Checks	10/27/2026	10/27/2026	medium
477592	SCA: security update for qs (GHSA-6pq8-jhm2-2vcw)	Tenable Cloud Security	SCA Checks	10/27/2026	10/27/2026	medium
366413	Linux Distros 未修補弱點：CVE-2026-110816	Nessus	Misc.	10/16/2026	10/19/2026	medium
366413	Linux Distros 未修补的漏洞：CVE-2026-110816	Nessus	Misc.	10/16/2026	10/19/2026	medium
366413	Linux Distros のパッチ未適用の脆弱性: CVE-2026-110816	Nessus	Misc.	10/16/2026	10/19/2026	medium
366413	Linux Distros Unpatched Vulnerability : CVE-2026-110816	Nessus	Misc.	10/16/2026	10/19/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium