Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ### 汇总 通过“逗号：true”和“throwOnLimitExceeded： true”调用“qs.parse”时，推括号键 （'a[]=1,2,3,4'） 下的逗号分隔值会拆分为数组，而不与 'arrayLimit' 进行比较，而平面键 （'a=1,2,3,4'）、索引键 （'a[0]='）、嵌套键 （'a[b]='） 或点线键（含 'allowDots' 的 'a.b='） 下的相同值会抛出记录的“RangeError”。因此，单一参数（如“a[]=1,2,2,...”会产生任意长度的内部数组，即使调用方选择加入硬性限制亦然。这是针对 （qs 6.14.2） 的CVE-2026-2391补丁未涵盖的“[]=”键形式。 ### 详细信息 在“lib/parse.js”中，将“[]=”键下以逗号分隔的值拆分，然后封装为单个嵌套元素（“val = [val]”，以便每个“a[]=x，y”群组都算作外部数组的一个元素。针对逗号值添加的 6.14.2 “arrayLimit”检查会在该封装之后运行，因此对于“[]=”部分，它只会看到长度为 1 的封装程序。 6.15.3 添加了预拆分逗号计数，以便在分配超大值之前抛出，但在“isFlatArrayValue”标记上将其限制，该标记将“parseValues”针对包含“[]=”的任何部分设置为“false”，并且未将其传递用于对象值输入， 所以差距仍然存在。#### PoC '''js var qs = require（'qs'）;var options = { comma： true， arrayLimit： 3， throwOnLimitExceeded： true };qs.parse（'a=1,2,3,4'， options）;RangeError：超出数组限制。一个数组中仅允许 3 个元素。qs.parse（'a[]=1,2,3,4'， options）;{ a： [ [ '1'， '2'， '3'， '4' ] ] } （不抛出） qs.parse（'a[]=' + '1，'.repeat（1000000） + '1'， { 逗号：true， arrayLimit： 20， throwOnLimitExceeded：
    true }）;不投掷;分配了一个包含 1,000,001 元素的内部数组“'' #### 修复了”lib/parse.js“，在 8859c37 中的”main“中应用并作为 v6.16.0 发布：删除了”isFlatArrayValue“门，因此无论密钥形式如何，拆分之前都会将每个逗号拆分值计入”arrayLimit“。'a[]=' 下的限制内群组仍计为外部数组的一个元素，默认 （'throwOnLimitExceeded： false'） 路径保持不变。### 受影响的版本 '>=6.14.2 <6.16.0'，已在 v6.16.0 中修复。v6.14.2 引入了逗号值的“arrayLimit”强制执行（针对 的补丁 CVE-2026-2391），但仅适用于不是在“[]=”密钥下的值，并且从 v6.14.2 到 v6.15.3 的所有版本都有相同的差距。v6.14.0 和 v6.14.1 包含，其中存在“throwOnLimitExceeded”，但不适用于任何逗号形式，由而不是此记录覆盖 CVE-2026-2391 。较早的行（6.7.x6.13.x到 ）有“逗号”，但没有“throwOnLimitExceeded”，因此逗号路径上没有硬性限制可绕过;之前的6.7.0版本没有“逗号”选项。 ### 影响 如果未经身份验证的攻击者能够接触到解析同时包含“逗号：true”和“throwOnLimitExceeded： true”（均为非默认）的不受信任的查询字符串或 urlencoded 正文的应用程序，则可以使用单个“a[]=”参数绕过配置的限制，并强制解析器分配一个成比例的数组请求大小。在攻击者提供的字节中，成本严格为线性（大约 0.1 为微秒，每个输入字节有 6 到 7 个保留字节;与记录的默认“throwOnLimitExceeded： false”路径相同的内存不足阈值），因此传输层请求或正文大小限制会完全限制它（并且节点的默认最大 HTTP 标头大小 16 KB 已限制请求行， 因此，数兆字节的负载需要正文解析器）。影响是选择加入硬性限制在遇到一个键拼写时无法打开，而不是从小输入进行不受限制的分配。（CVE-2026-82562）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ### 摘要 當使用 'comma： true' 和 'throwOnLimitExceeded： true' 呼叫 'qs.parse' 時，方括號推送鍵 （'a[]=1,2,3,4'） 下的逗號分隔值被拆分為數組，而不與 'arrayLimit' 進行比較，而平面鍵 （'a=1,2,3,4'）、索引鍵 （'a[0]='）、巢狀鍵 （'a[b]='） 或虛線鍵 （'a.b=' 與 'allowDots'） 下的相同值會擲回記錄的 'RangeError'。因此，單一參數 （例如 'a[]=1,2,2,...' 會產生任意長度的內部陣列，即使調用方選擇加入硬性限制也一樣。這是 （qs 6.14.2） 的CVE-2026-2391修正未涵蓋的 '[]=' 鍵形式。 ### 詳細資料 在 'lib/parse.js' 中，將 '[]=' 鍵下的逗號分隔值拆分，然後包裝為單一巢狀元素 （'val = [val]'，因此每個 'a[]=x，y' 群組都算作外部陣列的一個元素）。新增逗號值的 6.14.2 'arrayLimit' 檢查會在換行之後執行，因此對於 '[]=' 部分，它只看到長度為 1 的包裝函式。 6.15.3 新增了預先分割的逗號計數，以便在分配之前擲回過大的值，但在 'isFlatArrayValue' 標誌上對其進行門控，該標誌將 'parseValues' 設定為 'false' 對於任何包含 '[]=' 的部分，並且不會將其傳遞給物件值輸入， 所以差距仍然存在。#### PoC '''js var qs = require（'qs'）;var options = { comma： true， arrayLimit： 3， throwOnLimitExceeded： true };qs.parse（'a=1,2,3,4'， options）;RangeError：超出陣列限制。一個陣列中只允許 3 個元素。qs.parse（'a[]=1,2,3,4'， options）;{ a： [ [ '1'， '2'， '3'， '4' ] ] } （不擲出） qs.parse（'a[]=' + '1，'.repeat（1000000） + '1'， { 逗號： true， arrayLimit： 20， throwOnLimitExceeded：
    true }）;不投擲;分配一個 1,000,001 元素的內部陣列 ''' #### 修正 'lib/parse.js'，在 8859c37 中應用於 'main' 並作為 v6.16.0 發布：'isFlatArrayValue' 門被刪除，因此無論鍵形式如何，每個逗號拆分值在拆分之前都會計入 'arrayLimit'。'a[]=' 下的限制內群組仍會計為外部陣列的一個元素，且預設 （'throwOnLimitExceeded： false'） 路徑不變。### 受影響的版本 '>=6.14.2 <6.16.0'，已於 v6.16.0 中修正。 v6.14.2 對逗號值引入了 'arrayLimit' 強制執行 （修正 CVE-2026-2391），但僅適用於不在 '[]=' 鍵下的值，並且從 v6.14.2 到 v6.15.3 的每個版本都有相同的差距。 v6.14.0 和 v6.14.1 （其中存在 'throwOnLimitExceeded' 但不適用於任何逗號形式） 由此記錄涵蓋 CVE-2026-2391 ，而不是此記錄。較早的行 （6.7.x 到 6.13.x） 有「逗號」，但沒有「throwOnLimitExceeded」，因此任何逗號路徑上都沒有硬性上限可供繞過;之前 6.7.0 的版本沒有「逗號」選項。 ### 影響 未經驗證的攻擊者如果能夠連線到剖析具有「comma： true」和「throwOnLimitExceeded： true」（均為非預設）的不受信任查詢字串或 urlencoded 主體的應用程式，可以使用單一 'a[]=' 參數繞過已設定的限制，並強制剖析器配置與請求大小。在攻擊者提供的位元組中，成本是嚴格線性的 （大約 0.1 微秒，每個輸入位元組保留 6 到 7 個位元組;與記錄的預設「throwOnLimitExceeded： false」路徑相同的記憶體不足閾值），因此傳輸層請求或內文大小限制將其完全限制（節點的預設最大 HTTP 標頭大小 16 KB 已經限制了請求行， 因此，數兆位元組的有效負載需要一個正文解析器）。其影響在於，選擇加入硬性限制在一個鍵拼寫上無法開啟，而不是來自小輸入的無限分配。（CVE-2026-82562）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ### サマリー 「qs.parse」が「comma: true」および「throwOnLimitExceeded: true」で呼び出されたとき、角かっこプッシュキー(「a[]=1,2,3,4」)の下のカンマ区切り値は、「arrayLimit」と比較されることなく配列に分割されます。一方、フラットキー(「a=1,2,3,4」)、インデックス付きキー(「a[0]=」)、ネスト化キー(「a[b]=」)、またはドット付きキー(「allowDots」を伴う「a.b=」)の下の同じ値は、文書化された「RangeError」をスローします。したがって、「a[]=1,2,2,...」のような単一パラメーターは、呼び出し元がハードリミットを選択した場合でも、任意の長さの内部配列を生成します。これは、 CVE-2026-2391 (qs 6.14.2)の修正がカバーしなかった「[]=」キー形式です。 ### 詳細 「lib/parse.js」では、「[]=」キーの下のコンマ区切り値が分割されてから、単一のネスト化された要素としてラップされます(「val = [val]」により、各「a[]=x,y」グループが外部配列の 1 つの要素としてカウントされます)。コンマ値に対して追加された「arrayLimit」チェック 6.14.2 そのラップの後に実行されるため、「[]=」部分に対しては長さ 1 のラッパーしか表示されませんでした。 6.15.3 、事前に分割されたコンマカウントを追加して、サイズが大き過ぎる値が割り当てられる前にスローされるようにしますが、「isFlatArrayValue」フラグでゲートされ、「[]=」を含む任意の部分に対して「parseValues」が「false」に設定され、それをオブジェクト値の入力に渡さないようにしました。 そのため、ギャップは残りました。#### PoC '''js var qs = require('qs');var options = { comma: true, arrayLimit: 3, throwOnLimitExceededed: true };qs.parse('a=1,2,3,4'、オプション);RangeError: 配列の上限を超えました。配列では 3 つの要素のみが許可されます。qs.parse('a[]=1,2,3,4'、オプション);{ a: [ [ '1', '2', '3', '4' ] ] } (スローなし) qs.parse('a[]=' + '1,'.repeat(1000000) + '1', { comma: true, arrayLimit: 20, throwOnLimitExceeded:
    真 });スローはありません。1,000,001 要素の内部配列が割り当てられています ' #### 「main」の 8859c37 に適用され、v6.16.0 としてリリースされた「lib/parse.js」を修正します:「isFlatArrayValue」ゲートが削除されたため、キー形式に関係なく、分割する前にすべてのコンマ分割値が「arrayLimit」に対してカウントされます。「a[]=」の下の制限内グループは、引き続き外部配列の 1 つの要素としてカウントされ、デフォルトのパス(「throwOnLimitExceeded: false」)は変更されません。### 影響を受けるバージョン「>=6.14.2 <6.16.0」、v6.16.0 で修正済みです。v6.14.2 では、コンマ値に対して「arrayLimit」強制が導入されましたが( CVE-2026-2391 の修正)、'[]=」キーの下にない値に対してのみ導入されました。そして、v6.14.2 から v6.15.3 までのどのリリースも同じギャップがあります。「throwOnLimitExceeded」は存在しますが、コンマ形式には適用されませんが、このレコードではなく CVE-2026-2391 の対象となっています。以前の行(6.7.x から 6.13.x)には「comma」がありますが「throwOnLimitExceeded」はないため、バイパスするコンマパスのハードキャップはありません。 6.7.0 以前のリリースには「comma」オプションがありません。 ### 影響 「comma: true」および「throwOnLimitExceeded: true」(どちらも非デフォルト)の両方を持つ信頼できないクエリ文字列または urlencode された本文を解析するアプリケーションに到達できる認証されていない攻撃者が、単一の「a[]=」パラメーターで構成された制限をバイパスし、パーサーに に比例した配列を割り当てさせる可能性があります。要求のサイズ。コストは、攻撃者が指定したバイト(入力バイトあたり約 0.1 マイクロ秒、6 から 7 の保持バイト、ドキュメントに記載されているデフォルトの「throwOnLimitExceeded: false」パスと同じメモリ不足しきい値)で厳密に線形です。したがって、トランスポート層のリクエストまたは本文サイズの制限が、それを完全にバインドします(そして、ノードのデフォルトの最大 HTTP ヘッダーサイズである 16 KB は、すでにリクエスト行をバインドしています。 したがって、マルチメガバイトのペイロードにはボディパーサーが必要です)。その結果、オプトインのハードリミットは、小さな入力からの無制限の割り当てではなく、1つのキーのスペルで開けなくなります。(CVE-2026-82562)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ### Summary When `qs.parse` is called with `comma: true` and `throwOnLimitExceeded: true`, a comma-     separated value under a bracket-push key (`a[]=1,2,3,4`) is split into an array without being compared     against `arrayLimit`, while the same value under a flat key (`a=1,2,3,4`), an indexed key (`a[0]=`), a     nested key (`a[b]=`), or a dotted key (`a.b=` with `allowDots`) throws the documented `RangeError`. A     single parameter such as `a[]=1,2,2,...` therefore produces an inner array of arbitrary length even though     the caller opted into the hard limit. This is the `[]=` key form that the fix for CVE-2026-2391 (qs     6.14.2) did not cover. ### Details In `lib/parse.js`, a comma-separated value under a `[]=` key is split     and then wrapped as a single nested element (`val = [val]`, so that each `a[]=x,y` group counts as one     element of the outer array). The `arrayLimit` check that 6.14.2 added for comma values runs after that     wrap, so for `[]=` parts it only ever saw the wrapper of length 1. 6.15.3 added a pre-split comma count so     that an oversized value throws before it is allocated, but gated it on an `isFlatArrayValue` flag that     `parseValues` set to `false` for any part containing `[]=`, and did not pass it for object-valued input,     so the gap remained. #### PoC ```js var qs = require('qs'); var options = { comma: true, arrayLimit: 3,     throwOnLimitExceeded: true }; qs.parse('a=1,2,3,4', options); // RangeError: Array limit exceeded. Only 3     elements allowed in an array. qs.parse('a[]=1,2,3,4', options); // { a: [ [ '1', '2', '3', '4' ] ] } (no     throw) qs.parse('a[]=' + '1,'.repeat(1000000) + '1', { comma: true, arrayLimit: 20, throwOnLimitExceeded:
    true }); // no throw; a 1,000,001-element inner array is allocated ``` #### Fix `lib/parse.js`, applied in     8859c37 on `main` and released as v6.16.0: the `isFlatArrayValue` gate is removed, so every comma-split     value is counted against `arrayLimit` before splitting regardless of key form. An in-limit group under     `a[]=` still counts as one element of the outer array, and the default (`throwOnLimitExceeded: false`)     path is unchanged. ### Affected versions `>=6.14.2 <6.16.0`, fixed in v6.16.0. v6.14.2 introduced     `arrayLimit` enforcement for comma values (the fix for CVE-2026-2391) but only for values not under a     `[]=` key, and every release from v6.14.2 through v6.15.3 has the same gap. v6.14.0 and v6.14.1, where     `throwOnLimitExceeded` exists but does not apply to any comma form, are covered by CVE-2026-2391 rather     than this record. Earlier lines (6.7.x through 6.13.x) have `comma` but no `throwOnLimitExceeded`, so     there is no hard cap on any comma path to bypass; releases before 6.7.0 have no `comma` option. ### Impact     An unauthenticated attacker who can reach an application that parses untrusted query strings or urlencoded     bodies with both `comma: true` and `throwOnLimitExceeded: true` (both non-default) can bypass the     configured limit with a single `a[]=` parameter and force the parser to allocate an array proportional to     the request size. The cost is strictly linear in the attacker-supplied bytes (about 0.1 microseconds and 6     to 7 retained bytes per input byte; the same out-of-memory threshold as the documented default     `throwOnLimitExceeded: false` path), so a transport-layer request or body size limit bounds it completely     (and node's default maximum HTTP header size of 16 KB already bounds the request line, so multi-megabyte     payloads need a body parser). The impact is that an opt-in hard limit fails open on one key spelling, not     unbounded allocation from a small input. (CVE-2026-82562)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
341597	Linux Distros 未修补的漏洞：CVE-2026-82562	Nessus	Misc.	8/30/2026	9/3/2026	medium
341597	Linux Distros 未修補弱點：CVE-2026-82562	Nessus	Misc.	8/30/2026	9/3/2026	medium
341597	Linux Distros のパッチ未適用の脆弱性: CVE-2026-82562	Nessus	Misc.	8/30/2026	9/3/2026	medium
341597	Linux Distros Unpatched Vulnerability : CVE-2026-82562	Nessus	Misc.	8/30/2026	9/3/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium