Se você usa o Zod para validar dados na sua aplicação, vale olhar com atenção: um aviso de segurança publicado em 1º de outubro de 2026 descreve uma falha que pode esgotar a memória do servidor quando um array muito grande é validado sem limite de tamanho.
O que é a vulnerabilidade no Zod?
A falha foi registrada como CVE-2023-54404 e afeta o Zod até a versão 4.6.5, segundo a descrição do aviso. Quando um schema de array não tem limite de tamanho, a lógica handleArrayResult do $ZodArray guarda um erro de validação para cada item que falha, sem limite e sem parar no meio do caminho. Se alguém enviar um array enorme e inválido, esses erros se acumulam até a memória acabar, e o processo pode cair.
Por que isso é importante?
O aviso classifica a falha como de severidade alta, com nota 8,2 no CVSS 4.0. O ataque pode ser feito pela rede, sem login e sem nenhuma ação do usuário. O impacto está na disponibilidade: a aplicação pode ficar fora do ar, o que se chama de negação de serviço. Não há menção a vazamento ou alteração de dados.
Um detalhe: até a data deste artigo, o aviso aparece como ainda não revisado pelo GitHub e não informa uma versão corrigida.
Como proteger suas aplicações?
Enquanto não há uma correção oficial anunciada no aviso, a medida mais direta é não deixar arrays sem limite nos dados que chegam de fora da aplicação:
- Defina um tamanho máximo nos schemas de array que recebem dados de usuários ou de outras APIs, usando o método .max() do Zod com um valor que faça sentido para o seu caso.
- Limite o tamanho do corpo das requisições no seu servidor ou API, para que um payload gigante nem chegue à validação.
- Monitore o uso de memória dos serviços que validam dados externos.
- Acompanhe o aviso no GitHub e as versões novas do Zod para atualizar assim que houver uma correção informada.
Perguntas frequentes
Minha aplicação está em risco?
O risco maior está em serviços que validam com Zod dados enviados por terceiros, como o corpo de requisições de uma API, usando arrays sem tamanho máximo. Confira os seus schemas e a versão do Zod instalada no projeto.
Já existe versão corrigida?
O aviso consultado não informa versão corrigida. Acompanhe a página do aviso e o repositório do Zod para saber quando houver uma.
Qual é a gravidade da falha?
Alta, com nota 8,2 no CVSS 4.0, e o impacto está na disponibilidade do sistema.
Onde encontro mais detalhes?
No GitHub Advisory Database e na base do NVD, pelo identificador CVE-2023-54404.
Próximos passos
Abra os schemas do seu projeto, procure arrays que recebem dados externos e veja se todos têm um limite de tamanho. Se quiser aprofundar validação de dados e segurança no desenvolvimento web, a plataforma de cursos da Hcode tem conteúdos para estudar no seu ritmo.
Fonte
Zod can exhaust memory while validating oversized constrained collections, GitHub Advisory Database, 1 de outubro de 2026.