Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ### 摘要 qs 中的「arrayLimit」選項不會強制限制逗號分隔值，當「逗號：
    啟用了 true'，使攻擊者能透過記憶體耗盡來造成阻斷服務（denial-ofservice）。這是繞過陣列限制強制的方法，類似於 GHSA-6rw7-vpxm-498p （CVE-2025-15284）中處理的括號符號繞過。### 細節 當「逗號」選項設為「true」（非預設，但在應用程式中可設定）時，qs 允許將逗號分隔字串解析為陣列（例如，'？param=a，b，c' 變成 '['a'， 'b'， 'c']''）。然而，'arrayLimit'（預設值：20）的限制檢查和可選的throwOnLimitExceeded會在「parseArrayValue」逗號處理邏輯之後進行，從而實現繞過。這使得從單一參數建立任意大的陣列，導致記憶體分配過多。**易受攻擊的程式碼**（lib/parse.js：行數 ~40-50）： '''js if （val && typeof val === 'string' && options.coma && val.indexOf（'，'） > -1） { return val.split（'，'）; } if （options.throwOnLimitExceeded && currentArrayLength >= options.arrayLimit） { throw new RangeError（'Array limit exteeded. 只有 ' + options.arrayLimit + ' element' + （options.arrayLimit === 1 ？'' ： 's'） + ' 允許在陣列中。'）;} 返回 val;''' 'split（'，'）' 立即回傳陣列，跳過後續的極限檢查。透過 'utils.combine' 進行下游合併並不會阻止配置，即使它標記了稀疏陣列的溢位。這種差異讓攻擊者能夠傳送一個帶有數百萬逗號的單一參數（例如「？param=,,,,,,,,...」），在記憶體中分配龐大陣列且不觸發限制。它繞過了「arrayLimit」的意圖，該意圖在索引（'a[0]='）及括號（'a[]='）符號下正確執行（後者於 v6.14.1 依 GHSA-6rw7-vpxm-498p 修正）。### PoC **Test 1 - Basic bypass：** ''' npm install qs '''' ''js const qs = require（'qs'）;const 有效載荷 = 'a=' + '，'。重複（25）;拆分後 26 個元素（繞過 arrayLimit：
    5） const options = { 逗號： true， arrayLimit： 5， throwOnLimitExceeded： true };try { const result = qs.parse（payload， options）; console.log（result.a.length）; // 輸出：26 （bypass successful） } catch （e） {console.log（'Limit enforced：'， e.message）; // 未拋出 } '''' **Configuration：** - '逗號： true' - 'arrayLimit： 5' - 'throwOnLimitExceeded： true' 預期：擲出 陣列限制超過錯誤。實際情況：
    成功解析，建立了長度為 26 的陣列。### 因記憶體耗盡而產生的阻斷服務（DoS）影響。（CVE-2026-2391）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2026-2391

medium Nessus Plugin ID 298899

版本 1.10