Mantenha a segurança das versões do Express.js em fim de vida útil (EOL) em aplicativos Node.js em produção

Apenas de forma mínima. O Express 3 já não recebe suporte há anos, e a versão 4.x passou para a fase de manutenção assim que o Express 5 se tornou a versão atual. Considerando a quantidade de tráfego de produção do Node.js que ainda roda no Express 4, isso deixa uma base instalada muito grande em uma linha cujo compromisso de suporte está diminuindo. O ELS para Express oferece correções contínuas de CVE para versões do Express que chegaram ao fim da vida útil (EOL).

Express 3.4.8, 3.21.2, 4.17.1, 4.18.1, 4.18.2, 4.18.3 e 4.19.2. Outras versões estão disponíveis mediante solicitação.

Sim. O Express 5 substitui cinco elementos por uma nova abordagem de expressões regulares (path-to-regexp) que altera a correspondência de rotas, modifica o tratamento de erros para promessas rejeitadas e remove métodos há muito obsoleto — o que, de forma imperceptível, causa falhas no middleware e nos padrões de rotas em grandes aplicativos. O ELS, por sua vez, aplica correções à sua versão atual.

Sim, sem custo adicional para dependências transitivas. É aí que está o ponto crucial: a maioria das vulnerabilidades (CVEs) do Express se concentra nos pacotes relacionados — body-parser, path-to-regexp, send, cookie, qs — e não no próprio Express. A TuxCare corrige o pacote vulnerável e recompila tudo a jusante.

Vale a pena conferir. Uma versão do EOL Express geralmente se baseia em uma versão do Node.js em fim de vida útil, e o Node.js 20 chegou ao fim de vida útil em abril de 2026. O ELS da TuxCare para Node.js abrange as versões 12, 14, 16, 18 e 20, de modo que ambas as camadas podem receber correções em conjunto.

Adicione o registro da TuxCare ao arquivo .npmrc e defina um alias para o Express como @els-js/express, manualmente ou com o TuxCare Patcher. As rotas e a ordem do middleware permanecem inalteradas. Os pacotes trazem o sufixo -tuxcare.N e são fornecidos com dados SBOM e VEX, para que os scanners possam distinguir uma compilação corrigida da versão original vulnerável.