CVE-2026-8161
WysokieStreszczenie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nazwą pola kolidującą z właściwością Object.prototype, parser wywołuje .push() na dziedziczonej wartości prototypu, co prowadzi do błędu TypeError i awarii procesu.
Ocena ryzyka
Każda usługa akceptująca przesyłki multipart za pomocą multiparty jest narażona na awarię. Brak dostępnych obejść zwiększa ryzyko przestojów w działaniu usług.
Rekomendacja
Zaleca się aktualizację do wersji multiparty 4.3.0 lub wyższej, aby usunąć tę podatność.
Inne podatności w multiparty
Zobacz wszystkie- CVE-2026-8162Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nagłówkiem Content-Disposition zawierającym źle sformatowane kodowanie procentowe, parser wywołuje decodeURI bez obsługi błędów, co prowadzi do awarii procesu.
- CVE-2026-8159Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu cofania się wyrażeń regularnych w parserze parametru Content-Disposition filename. Odpowiednio skonstruowane przesyłanie multipart z długą wartością nagłówka może spowodować, że dopasowanie regex zajmie sekundy, blokując pętlę zdarzeń.
Oryginalny opis (angielski, źródło NVD)
[email protected] and lower versions are vulnerable to denial of service via uncaught exception. By sending a multipart/form-data request with a field name that collides with an inherited Object.prototype property such as __proto__, constructor, or toString, the parser invokes .push() on the inherited prototype value rather than an array, throwing a TypeError that propagates as an uncaught exception and crashes the process. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: none. Upgrade to [email protected] or higher.