PT-2026-39996 · Npm · Multipart

Aszx87410 + 2 · Publicado 2026-05-12 · Atualizado 2026-05-18 · CVE-2026-8159

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas multiparty versões anteriores a 4.3.0

Descrição Um problema de negação de serviço ocorre devido ao backtracking de expressão regular no analisador de parâmetros de nome de arquivo do Content-Disposition. Um upload multipart manipulado contendo um valor de cabeçalho longo pode fazer com que a correspondência de regex leve vários segundos, bloqueando o loop de eventos. Isso afeta qualquer serviço que aceite uploads multipart usando esta biblioteca.

Recomendações Atualize para a versão 4.3.0 ou superior. Limite os tamanhos de upload na camada de proxy ou gateway para reduzir a superfície de ataque.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2026-8159

GHSA-65X3-RW7Q-GX94

Produtos afetados

Multipart

Referências · 12

• https://github.com/pillarjs/multiparty/security/advisories/GHSA-65x3-rw7q-gx94 · Aviso do Fabricante
• https://github.com/pillarjs/multiparty · Nota
• https://github.com/pillarjs/multiparty/releases/tag/v4.3.0 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-8159 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-65x3-rw7q-gx94 · Aviso do Fabricante
• https://t.me/CVEtracker/53492 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2026-8159 · Aviso do Fabricante
• https://owasp.org/www-community/attacks/Regular_expression_Denial_of_Service_-_ReDoS · Nota
• https://twitter.com/kom_256/status/2054119739945893914 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2054225368823873930 · Publicação no Twitter
• https://cna.openjsf.org/security-advisories.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8159 · Nota de Segurança