CVE-2025-15284

Vulnerabilità di Improper Input Validation in qs (parse modules) consente DoS via HTTP. Questo problema riguarda le versioni di qs: < 6.14.1.

Sommario

L’opzione arrayLimit in qs non applicava limiti alla notazione con parentesi quadre (a[]=1&a[]=2), applicandoli solo alla notazione indicizzata (a[0]=1). Si tratta di un bug di coerenza; arrayLimit dovrebbe applicarsi uniformemente a tutte le notazioni di array.

Nota: il parametro predefinito parameterLimit di 1000 mitiga efficacemente lo scenario di DoS originariamente descritto. Con le impostazioni di default, la notazione con parentesi non può generare array più grandi di parameterLimit, indipendentemente da arrayLimit, perché ogni a[]=valore consuma uno slot di parametro. La gravità è stata di conseguenza ridotta.

Dettagli

L’opzione arrayLimit verificava i limiti solo per la notazione indicizzata (a[0]=1&a[1]=2), ma non la applicava alla notazione con parentesi (a[]=1&a[]=2).

Codice vulnerabile (lib/parse.js:159-162):

if (root === '[]' && options.parseArrays) {
obj = utils.combine([], leaf); // Nessun controllo di arrayLimit
}

Codice funzionante (lib/parse.js:175):

else if (index <= options.arrayLimit) { // Limite verificato qui
obj = [];
obj[index] = leaf;
}

Il gestore della notazione con parentesi alla riga 159 utilizza utils.combine([], leaf) senza convalidare rispetto a options.arrayLimit, mentre la notazione indicizzata alla riga 175 verifica index <= options.arrayLimit prima di creare gli array.

PoC (Proof of Concept)

const qs = require('qs');
const result = qs.parse('a[]=1&a[]=2&a[]=3&a[]=4&a[]=5&a[]=6', { arrayLimit: 5 });
console.log(result.a.length); // Output: 6 (dovrebbe essere massimo 5)

Nota sull’interazione con parameterLimit: l’"esempio di DoS" della prima advisory affermava una lunghezza di 10.000, ma parameterLimit (default: 1000) limita l’analisi a 1.000 parametri. Con le impostazioni di default, l’output reale è di 1.000, non 10.000.

Impatto

Bug di coerenza nell’applicazione di arrayLimit. Con parameterLimit di default, il rischio pratico di DoS è trascurabile poiché parameterLimit già limita il numero totale di parametri analizzati (e quindi gli elementi dell’array derivanti dalla notazione con parentesi). Il rischio aumenta solo quando parameterLimit viene impostato esplicitamente a valori molto elevati.