body-parser CVE-2026-111181 (GHSA-27r3-jxmh-p828): Ein einziger komprimierter Request mit Restbytes bringt Express-Apps mit Standard-Einstellungen zum Absturz. PoC ist öffentlich.
Fix: body-parser 1.20.9 oder 2.4.0. Fallstrick: Express 4.16 bis 4.21.2 pinnt body-parser fest, npm update body-parser hilft dort nicht. Express auf 4.22.x oder 5.x heben, dann npm ls body-parser prüfen. Notlösung: inflate: false.