何が起きたか
gzip などの Content-Encoding 付きリクエストで、正しい圧縮フレームの後ろに余分なバイトを付けると、処理後のデコーダーでエラーが起き、捕捉されない例外としてプロセスが終了します。既定の設定のままで影響を受け、パースはルーティングより前に走るため、認証も該当ルートも不要です。
やること
1.20.9 または 2.4.0 へ更新します。Express 経由で使っている場合も依存ツリー上の版を確認してください。圧縮されたリクエストを受ける必要がなければ、inflate: false を指定することで回避できます。
出典
body-parser のセキュリティ勧告github.com英語 ↗NVD CVE-2026-111181nvd.nist.gov英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。