CVE-2026-8162
WysokieStreszczenie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nagłówkiem Content-Disposition zawierającym źle sformatowane kodowanie procentowe, parser wywołuje decodeURI bez obsługi błędów, co prowadzi do awarii procesu.
Ocena ryzyka
Każda usługa akceptująca przesyłki multipart za pomocą multiparty jest narażona na awarię, co może prowadzić do przestojów w działaniu aplikacji.
Rekomendacja
Zaleca się aktualizację do wersji multiparty 4.3.0 lub wyższej, aby usunąć tę podatność.
Inne podatności w multiparty
Zobacz wszystkie- CVE-2026-8161Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nazwą pola kolidującą z właściwością Object.prototype, parser wywołuje .push() na dziedziczonej wartości prototypu, co prowadzi do błędu TypeError i awarii procesu.
- CVE-2026-8159Wysokie
Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu cofania się wyrażeń regularnych w parserze parametru Content-Disposition filename. Odpowiednio skonstruowane przesyłanie multipart z długą wartością nagłówka może spowodować, że dopasowanie regex zajmie sekundy, blokując pętlę zdarzeń.
Oryginalny opis (angielski, źródło NVD)
[email protected] and lower versions are vulnerable to denial of service via uncaught exception. By sending a multipart/form-data request with a Content-Disposition header whose filename* parameter contains a malformed percent-encoding, the parser invokes decodeURI on the value without try/catch. The resulting URIError propagates as an uncaught exception and crashes the process. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: none. Upgrade to [email protected] or higher.