Mittel

qs array-limit bypass via bracket-key comma parsing

Veröffentlicht: 02.09.2026
Aktualisiert: 11.10.2026 10:22

Summary

qs v6.15.3 allows bracket-key input to bypass arrayLimit and throwOnLimitExceeded when comma: true. The input a[]=1,2,3,4 succeeds with arrayLimit: 3, while the equivalent plain-key input is rejected.

Affected version tested:

qs v6.15.3
commit 18d085e919dae70c8f1b200ab99323058edab2c2

Details

parseArrayValue() enforces the comma limit only for flat values. The a[] form is marked non-flat, so its comma-separated value is wrapped after parsing and the inner array is not checked. A single parameter can therefore materialize arbitrarily large arrays.

PoC

const qs = require('qs')
const options = { comma: true, arrayLimit: 3, throwOnLimitExceeded: true }

const result = qs.parse('a[]=1,2,3,4', options)
console.log(result.a[0].length) // 4; expected RangeError

const big = qs.parse('a[]=' + '1,'.repeat(1000000) + '1', { comma: true, arrayLimit: 20 })
console.log(big.a[0].length) // 1000001

On v6.15.3, the first input parses successfully and the second creates an array with 1,000,001 elements. The equivalent a=1,2,3,4 input throws RangeError as expected.

Impact

An attacker who can supply a query string or form body can bypass configured array limits and force excessive memory allocation, causing denial of service. The limit must be applied after comma splitting and before the resulting array is wrapped.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	qs	>= 6.14.2, < 6.16.0	6.16.0

Verweise

CVSS-Wert 3.7/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-770
Plattform: npm
Paket: qs
Veröffentlicht: 02.09.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-x5fp-wj9c-mxmx - CC BY 4.0

Schwachstellenhistorie: qs

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (9) im Archiv

Einträge insgesamt: 9
Erste → letzte: 10.2017 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 4
Mittel 4
Niedrig 1

Veröffentlichungen pro Jahr

2017: 1
2018: 1
2019: 0
2020: 1
2021: 0
2022: 1
2023: 0
2024: 0
2025: 1
2026: 4

02.09.2026

qs array-limit bypass via bracket-key comma parsing dieser Eintrag

Mittel · 3.7 CVE-2026-82562 >= 6.14.2, < 6.16.0 6.16.0
27.11.2022

qs vulnerable to Prototype Pollution

Hoch · 7.5 CVE-2022-24999 >= 6.10.0, < 6.10.3, >= 6.9.0, < 6.9.7, >= 6.8.0, < 6.8.3, >= 6.7.0, < 6.7.3, >= 6.6.0, < 6.6.1, >= 6.5.0, < 6.5.3, >= 6.4.0, < 6.4.1, >= 6.3.0, < 6.3.3, < 6.2.4 6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4
30.04.2020

Prototype Pollution Protection Bypass in qs

Hoch · 7.5 CVE-2017-1000048 < 6.0.4, >= 6.1.0, < 6.1.2, >= 6.2.0, < 6.2.3, >= 6.3.0, < 6.3.2 6.0.4, 6.1.2, 6.2.3, 6.3.2
09.10.2018

Denial-of-Service Extended Event Loop Blocking in qs

Hoch CVE-2014-10064 < 1.0.0 1.0.0
24.10.2017

Denial-of-Service Memory Exhaustion in qs

Hoch CVE-2014-7191 < 1.0.0 1.0.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden