CVE-2026-8159
WysokieStreszczenie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu cofania się wyrażeń regularnych w parserze parametru Content-Disposition filename. Odpowiednio skonstruowane przesyłanie multipart z długą wartością nagłówka może spowodować, że dopasowanie regex zajmie sekundy, blokując pętlę zdarzeń.
Ocena ryzyka
Każda usługa akceptująca przesyłki multipart za pomocą multiparty jest narażona na ten problem, co może prowadzić do poważnych zakłóceń w działaniu aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji multiparty 4.3.0 lub wyższej, aby usunąć tę podatność. Ograniczenie rozmiarów przesyłek na poziomie proxy lub bramy może zmniejszyć ryzyko, ale nie eliminuje go całkowicie.
Inne podatności w multiparty
Zobacz wszystkie- CVE-2026-8162Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nagłówkiem Content-Disposition zawierającym źle sformatowane kodowanie procentowe, parser wywołuje decodeURI bez obsługi błędów, co prowadzi do awarii procesu.
- CVE-2026-8161Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nazwą pola kolidującą z właściwością Object.prototype, parser wywołuje .push() na dziedziczonej wartości prototypu, co prowadzi do błędu TypeError i awarii procesu.
Oryginalny opis (angielski, źródło NVD)
[email protected] and lower versions are vulnerable to denial of service via regular expression backtracking in the Content-Disposition filename parameter parser. A crafted multipart upload with a long header value can cause regex matching to take seconds, blocking the event loop. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: limiting upload sizes at the proxy or gateway layer reduces but does not eliminate the attack surface, since a small header of around 8 KB is sufficient to trigger the vulnerable backtracking. Upgrade to [email protected] or higher.