Media

qs array-limit bypass via bracket-key comma parsing

Publicada: 02.09.2026
Actualizado: 11.10.2026 10:22

Summary

qs v6.15.3 allows bracket-key input to bypass arrayLimit and throwOnLimitExceeded when comma: true. The input a[]=1,2,3,4 succeeds with arrayLimit: 3, while the equivalent plain-key input is rejected.

Affected version tested:

qs v6.15.3
commit 18d085e919dae70c8f1b200ab99323058edab2c2

Details

parseArrayValue() enforces the comma limit only for flat values. The a[] form is marked non-flat, so its comma-separated value is wrapped after parsing and the inner array is not checked. A single parameter can therefore materialize arbitrarily large arrays.

PoC

const qs = require('qs')
const options = { comma: true, arrayLimit: 3, throwOnLimitExceeded: true }

const result = qs.parse('a[]=1,2,3,4', options)
console.log(result.a[0].length) // 4; expected RangeError

const big = qs.parse('a[]=' + '1,'.repeat(1000000) + '1', { comma: true, arrayLimit: 20 })
console.log(big.a[0].length) // 1000001

On v6.15.3, the first input parses successfully and the second creates an array with 1,000,001 elements. The equivalent a=1,2,3,4 input throws RangeError as expected.

Impact

An attacker who can supply a query string or form body can bypass configured array limits and force excessive memory allocation, causing denial of service. The limit must be applied after comma splitting and before the resulting array is wrapped.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	qs	>= 6.14.2, < 6.16.0	6.16.0

Referencias

Puntuación CVSS 3.7/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Debilidad (CWE): CWE-770
Plataforma: npm
Paquete: qs
Publicada: 02.09.2026
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-x5fp-wj9c-mxmx - CC BY 4.0

Historial de vulnerabilidades: qs

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (9) en el archivo

Entradas en total: 9
Primera → última: 10.2017 09.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 4
Media 4
Baja 1

Divulgaciones por año

2017: 1
2018: 1
2019: 0
2020: 1
2021: 0
2022: 1
2023: 0
2024: 0
2025: 1
2026: 4

02.09.2026

qs array-limit bypass via bracket-key comma parsing esta entrada

Media · 3.7 CVE-2026-82562 >= 6.14.2, < 6.16.0 6.16.0
27.11.2022

qs vulnerable to Prototype Pollution

Alta · 7.5 CVE-2022-24999 >= 6.10.0, < 6.10.3, >= 6.9.0, < 6.9.7, >= 6.8.0, < 6.8.3, >= 6.7.0, < 6.7.3, >= 6.6.0, < 6.6.1, >= 6.5.0, < 6.5.3, >= 6.4.0, < 6.4.1, >= 6.3.0, < 6.3.3, < 6.2.4 6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4
30.04.2020

Prototype Pollution Protection Bypass in qs

Alta · 7.5 CVE-2017-1000048 < 6.0.4, >= 6.1.0, < 6.1.2, >= 6.2.0, < 6.2.3, >= 6.3.0, < 6.3.2 6.0.4, 6.1.2, 6.2.3, 6.3.2
09.10.2018

Denial-of-Service Extended Event Loop Blocking in qs

Alta CVE-2014-10064 < 1.0.0 1.0.0
24.10.2017

Denial-of-Service Memory Exhaustion in qs

Alta CVE-2014-7191 < 1.0.0 1.0.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación