CVE-2026-8159
WysokieStreszczenie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu cofania się wyrażeń regularnych w parserze parametru Content-Disposition filename. Odpowiednio skonstruowane przesyłanie multipart z długą wartością nagłówka może spowodować, że dopasowanie regex zajmie sekundy, blokując pętlę zdarzeń.
Ocena ryzyka
Każda usługa akceptująca przesyłki multipart za pomocą multiparty jest narażona na ten problem, co może prowadzić do poważnych zakłóceń w działaniu aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji multiparty 4.3.0 lub wyższej, aby usunąć tę podatność. Ograniczenie rozmiarów przesyłek na poziomie proxy lub bramy może zmniejszyć ryzyko, ale nie eliminuje go całkowicie.
Inne podatności w multiparty
Zobacz wszystkie- CVE-2026-8162Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nagłówkiem Content-Disposition zawierającym źle sformatowane kodowanie procentowe, parser wywołuje decodeURI bez obsługi błędów, co prowadzi do awarii procesu.
- CVE-2026-8161Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nazwą pola kolidującą z właściwością Object.prototype, parser wywołuje .push() na dziedziczonej wartości prototypu, co prowadzi do błędu TypeError i awarii procesu.
- CVE-2026-87908Wysokie
multiparty to biblioteka Node.js do parsowania ciał żądań multipart/form-data. W wersjach od 2.1.0 do 4.3.1 (wyłącznie) parser nie ogranicza ilości pamięci używanej podczas gromadzenia nagłówków pojedynczej części multipart. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie, którego część zawiera bardzo dużą ilość bajtów nagłówka, zmuszając parser do buforowania ich wszystkich i wyczerpując pamięć procesu, co powoduje awarię serwera. Jest to atak typu denial of service bez wpływu na poufność lub integralność. Problem został naprawiony w multiparty 4.3.1, która ogranicza rozmiar gromadzonych nagłówków części. Użytkownicy powinni zaktualizować do multiparty 4.3.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
[email protected] and lower versions are vulnerable to denial of service via regular expression backtracking in the Content-Disposition filename parameter parser. A crafted multipart upload with a long header value can cause regex matching to take seconds, blocking the event loop. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: limiting upload sizes at the proxy or gateway layer reduces but does not eliminate the attack surface, since a small header of around 8 KB is sufficient to trigger the vulnerable backtracking. Upgrade to [email protected] or higher.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS