Nest Affected by DoS via Recursive handleData in JsonSocket (TCP Transport)

高 7.5CVE-2026-40879 · GHSA-hpwf-8g29-85qm · 21/04/2026 公開 · 26/10/2026 更新

要点

CVE-2026-40879 は nest (nestjs), @nestjs/microservices に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.33%（全脆弱性の 26.1% より高い）。
対処：11.1.19 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
nest nestjs	`< 11.1.19`	`11.1.19`
@nestjs/microservices npm	`< 11.1.19`	`11.1.19`

概要

Impact

Attacker sends many small, valid JSON messages in one TCP frame → handleData() recurses once per message; buffer shrinks each call → maxBufferSize is never reached; call stack overflows instead → A ~47 KB payload is sufficient to trigger RangeError

Patches

Fixed in @nestjs/[email protected]

References

Discovered by https://github.com/hwpark6804-gif

NVD の説明

Nest is a framework for building scalable Node.js server-side applications. Prior to 11.1.19, when an attacker sends many small, valid JSON messages in one TCP frame, handleData() recurses once per message; the buffer shrinks each call. maxBufferSize is never reached; call stack overflows instead. A ~47 KB payload is sufficient to trigger RangeError. This vulnerability is fixed in 11.1.19.