CVE-2026-3304

Podatność w multer (middleware dla Node.js) przed wersją 2.3.0. Specjalnie spreparowane żądanie multipart z dwoma polami może zablokować pętlę zdarzeń, powodując odmowę usługi. Wersja 2.3.0 dodaje opcję fieldArrayIndexLimit, która odrzuca zbyt duże indeksy tablic.

multer to oprogramowanie pośredniczące do obsługi multipart/form-data w Node.js. Małe żądanie multipart zawierające dwa specjalnie spreparowane nazwy pól tekstowych może spowodować nieprzechwycony błąd RangeError (Invalid array length), który kończy proces Node.js. Pierwsze pole używa bardzo dużego numerycznego indeksu tablicy, aby przydzielić tablicę rzadką o maksymalnej długości, a drugie pole następnie wypycha poza tę długość, co powoduje wyjątek w zależności append-field i nie jest przechwytywane przez multer. Wszystkie wersje przed 2.3.0 są dotknięte, a problem jest zdalnie wyzwalanym atakiem DoS. Problem jest naprawiony w multer 2.3.0. Zaktualizuj do multer 2.3.0, aby zaradzić.

multer przed wersją 2.3.0 zawiera podatność na wyścig (race condition) w obsłudze strumienia plików, gdy używany jest asynchroniczny fileFilter wraz z limitem fileSize. Pozwala to na obejście odrzucenia pliku przekraczającego limit rozmiaru.

multer to oprogramowanie pośredniczące do obsługi multipart/form-data w Node.js. W wersji 2.2.0, gdy przesyłanie na dysk jest przerwane lub obcięte przed zakończeniem strumienia zapisu, silnik pamięci dyskowej multer usuwa widoczny plik, ale nie zamyka bazowego deskryptora pliku zapisu, pozostawiając usunięty, ale wciąż otwarty deskryptor. Zdalny atakujący mający dostęp do trasy przesyłania z wbudowanym magazynem dyskowym może wysyłać powtarzające się przerwane lub uszkodzone przesyłania multipart, każde z nich wycieka deskryptor pliku i zatrzymuje bloki dysku aż do zakończenia procesu, co może wyczerpać zasoby i spowodować DoS. Problem jest naprawiony w multer 2.3.0, który zamyka docelowy strumień zapisu przy nieprawidłowym zakończeniu źródła i opóźnia czyszczenie do zamknięcia strumienia. Zaktualizuj do multer 2.3.0, aby zaradzić.

Wersje multer od 2.0.0-alpha.1 do 2.1.1 oraz 3.0.0-alpha.1 są podatne na atak typu Denial of Service przy użyciu diskStorage. Przerwane lub źle sformatowane przesyłki multipart pozostawiają osierocone częściowe pliki na dysku, co może prowadzić do wyczerpania przestrzeni dyskowej.

Wersje multer od 1.0.0 do 2.1.1 oraz 3.0.0-alpha.1 są podatne na atak typu Denial of Service poprzez głęboko zagnieżdżone nazwy pól w danych formularza multipart. Atakujący może wykorzystać to, aby zmusić system do alokacji głęboko zagnieżdżonych struktur obiektów, co prowadzi do zużycia CPU i pamięci.

Podatność w bibliotece Multer (node.js) przed wersją 2.1.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez wysłanie złośliwych żądań, co może prowadzić do przepełnienia stosu.

Multer to middleware Node.js do obsługi `multipart/form-data`. Podatność w wersjach przed 2.1.0 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez zerwanie połączenia podczas przesyłania pliku, co może prowadzić do wyczerpania zasobów.