Express 團隊於 2026 年 10 月 31 日彙整安全更新，提醒使用 body-parser 與 multer 的網站更新依賴。兩項漏洞都可能讓未登入的請求造成 Node.js 程序中斷；修補的是請求解析與上傳中介層，不能只更新 Express 主套件就認定全部完成。
這兩份維護者安全公告已於 10 月 22 日公開，10 月 31 日是整批更新提醒，並非首次揭露。本站這次合併整理版本與適用條件，讓維護者一次核對。
body-parser：壓縮請求的解壓錯誤可能終止程序
CVE-2026-111181 影響 body-parser 2.0.0 起、低於 2.4.0 的版本，以及低於 1.20.9 的舊版本。應更新至 2.4.0、1.20.9 或各分支後續已修補版本。
問題出在解析結束後，解壓串流仍可能收到資料並產生未被處理的錯誤。使用預設解壓選項時，單一請求就可能使程序退出。若解析器掛在全域、位於路由與身分驗證之前，請求不必先登入或命中有效路由。
不需要接收壓縮請求內容的應用，可評估將解析器的 inflate 設為 false 作為替代處理；這會拒絕壓縮內容，可能影響既有 API，需先確認相容性。
multer：非同步 fileFilter 是重要條件
CVE-2026-113872 影響 multer 2.0.0 起、低於 2.5.0 的版本。當應用使用非同步 fileFilter，請求中止後仍在等待的回呼可能操作已拆除的解析串流，造成未處理錯誤並使程序退出。修補版是 2.5.0；這條漏洞路徑不影響使用同步 fileFilter 的上傳流程。
維護者應檢查實際上傳中介層，而不是只看檔案存在硬碟還是物件儲存空間。更改過濾器前，也要確認原本的非同步檢查是否依賴資料庫或其他服務。
更新 lockfile、重新建置，最後核對運行版本
先保存可回復的部署與依賴鎖定檔，再查明應用直接或間接安裝的 body-parser、multer 版本。套件更新後要重新安裝依賴、建置並部署；容器網站也須替換正在服務的映像，避免只改了開發環境。
部署後抽查登入、JSON／表單 API、檔案上傳及拒絕檔案時的錯誤回應。這兩項公告描述的是阻斷服務，不應直接當成已知遠端程式碼執行漏洞。Express 同時提醒，接受 Brotli 壓縮請求的應用仍需更新 Node.js 執行環境；更新中介層與修補底層 Brotli 是不同工作。
資料核對日期：2026 年 11 月 2 日。封面為 AI 生成的安全更新概念插畫。
