PT-2026-39997 · Npm · Multipart

Blake Embrey + 5 · Publicado 2026-05-12 · Atualizado 2026-05-18 · CVE-2026-8161

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas multiparty versões 4.2.3 e anteriores

Description Ocorre uma negação de serviço quando uma requisição multipart/form-data é enviada com um nome de campo que colide com uma propriedade herdada do Object.prototype, como proto, constructor ou toString. Isso faz com que o analisador invoque a função .push() no valor do protótipo herdado em vez de um array, resultando em um TypeError que gera uma exceção não capturada e interrompe o processo. Este problema afeta qualquer serviço que aceite uploads multipart via multiparty.

Recommendations Atualize para a versão 4.3.0 ou superior.

Correção

DoS

Prototype Pollution

Enumeração de Fraquezas

CWE-248

CWE-1321

Identificadores relacionados

CVE-2026-8161

GHSA-QXCH-WHHJ-8956

Produtos afetados

Multipart

Referências · 10

• https://github.com/pillarjs/multiparty/security/advisories/GHSA-qxch-whhj-8956 · Aviso do Fabricante
• https://github.com/pillarjs/multiparty · Nota
• https://github.com/pillarjs/multiparty/releases/tag/v4.3.0 · Nota
• https://cna.openjsf.org/security-advisories.html · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-8161 · Aviso do Fabricante
• https://twitter.com/kom_256/status/2054123146312049076 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-qxch-whhj-8956 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-8161 · Aviso do Fabricante
• https://t.me/CVEtracker/53493 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-8161 · Nota de Segurança