CVE-2014-7191 是一个拒绝服务 (DoS) 漏洞，影响到 qs Node.js 模块的早期版本。攻击者可以利用此漏洞通过解析精心构造的字符串，触发程序耗尽内存并最终崩溃，导致服务中断。受影响的版本包括 1.0 之前的版本。建议升级到 1.0.0 或更高版本以解决此问题。
此漏洞允许攻击者通过发送特制的输入数据，导致 Node.js 应用程序耗尽系统资源，特别是内存。攻击者可以利用此漏洞进行拒绝服务攻击，使应用程序无法响应合法请求，从而导致服务中断。攻击者无需身份验证即可发起攻击，因此影响范围广泛。由于 qs 模块被广泛应用于处理 URL 查询字符串，因此许多依赖该模块的应用程序都可能受到影响。如果应用程序处理大量请求或处理包含恶意构造的查询字符串的请求，则风险更高。
此漏洞已公开披露，并且存在公开的利用代码。虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性和 qs 模块的广泛使用，存在被利用的风险。该漏洞未被添加到 CISA KEV 目录中。公开披露日期为 2017 年 10 月 24 日。
Applications built with Node.js that utilize the qs module and are running versions prior to 1.0.0 are at risk. This includes web applications, APIs, and any other Node.js-based services that process external input data without proper validation.
• nodejs / server:
npm list qs• nodejs / server:
npm audit qs• nodejs / server: Check application logs for errors related to memory exhaustion or crashes after processing input data.
discovery
disclosure
漏洞利用状态
EPSS
0.69% (72% 百分位)
最有效的缓解措施是升级到 qs 模块的 1.0.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制应用程序处理的 URL 查询字符串的长度，实施输入验证以过滤掉潜在的恶意字符串，并使用资源限制来防止应用程序耗尽所有可用内存。此外，可以配置 Web 应用程序防火墙 (WAF) 来检测和阻止包含恶意查询字符串的请求。升级后，请确认新版本已成功安装并配置，并通过测试用例验证应用程序的功能是否正常。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2014-7191 是一个拒绝服务漏洞，影响到 qs Node.js 模块的早期版本。攻击者可以利用此漏洞通过解析精心构造的字符串，导致程序耗尽内存并崩溃。
如果您正在使用 qs Node.js 模块的 1.0 之前的版本，则您可能受到此漏洞的影响。请立即升级到 1.0.0 或更高版本。
升级到 qs Node.js 模块的 1.0.0 或更高版本。如果无法立即升级，请考虑限制 URL 查询字符串的长度和实施输入验证。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性和 qs 模块的广泛使用，存在被利用的风险。
请查阅 qs 模块的 GitHub 仓库或 npm 官方网站，以获取有关此漏洞的官方公告和修复信息。