PT-2026-39998 · Npm · Multipart

Blake Embrey + 2 · Publicado 2026-05-12 · Atualizado 2026-05-18 · CVE-2026-8162

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas multiparty versões 4.2.3 e anteriores

Descrição Ocorre uma negação de serviço devido a uma exceção não capturada durante a análise de requisições multipart/form-data. Quando uma requisição contém um cabeçalho Content-Disposition com um parâmetro filename* que apresenta codificação de percentagem malformada, o analisador chama a função decodeURI() sem um bloco try/catch. Isso resulta em um URIError que interrompe o processo, afetando qualquer serviço que aceite uploads multipart através desta biblioteca.

Recomendações Atualize para a versão 4.3.0 ou superior.

Correção

DoS

Improper Handling of Exceptional Conditions

Enumeração de Fraquezas

CWE-755

Identificadores relacionados

CVE-2026-8162

GHSA-XH3C-6GCQ-G4RV

Produtos afetados

Multipart

Referências · 10

• https://github.com/pillarjs/multiparty/security/advisories/GHSA-xh3c-6gcq-g4rv · Aviso do Fabricante
• https://github.com/pillarjs/multiparty · Nota
• https://github.com/pillarjs/multiparty/releases/tag/v4.3.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8162 · Nota de Segurança
• https://twitter.com/kom_256/status/2054127127377666388 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-8162 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-8162 · Aviso do Fabricante
• https://t.me/CVEtracker/53494 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xh3c-6gcq-g4rv · Aviso do Fabricante
• https://cna.openjsf.org/security-advisories.html · Nota