Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響: 1.20.6 (1.x 行)と 2.3.0 (2.x 行)より前の body-parser のバージョンで、パーサーが解析できない文字列または NaN などの無効な制限オプション値で構成されている場合、bytes.parse は null を返し、リクエスト本文サイズのチェックは密かにスキップされます。サイズが大きすぎるリクエスト本文に対する主な保護手段として制限に依存しているアプリケーションは、任意の大きなペイロードを受け入れるため、過剰なメモリと CPU の使用率、およびサービス拒否につながります。パッチ:この問題は、body-parser 1.20.6 および 2.3.0 で修正されています。
    修正後、無効な制限値は、パーサー構築時に警告なしで強制を無効にする代わりに明確なエラーをスローします。一方、null および未定義は、引き続きデフォルトの制限の 100kb にフォールバックします。
    回避策:body-parser に渡す前に限度値を検証します。たとえば、起動時に値を解析し、結果が null または非有限数の構成を拒否します。(CVE-2026-12590)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-12590

medium Nessus プラグイン ID 326077

バージョン 1.4