p PatchFirst

CVE-2026-8159

CVE-2026-8159 · multiparty vulnerable to ReDoS via filename parsing

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

[email protected] and lower versions are vulnerable to denial of service via regular expression backtracking in the Content-Disposition filename parameter parser. A crafted multipart upload with a long header value can cause regex matching to take seconds, blocking the event loop. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: limiting upload sizes at the proxy or gateway layer reduces but does not eliminate the attack surface, since a small header of around 8 KB is sufficient to trigger the vulnerable backtracking. Upgrade to [email protected] or higher.

CVSS 7.5 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • multiparty

    Softwareversionen
    • ≥ 0, ≤ 4.2.3: Betroffen (semver)
    • 4.3.0: Nicht betroffen (semver)

    Auf 4.3.0 aktualisieren

  • node-multiparty Debian:12

    Softwareversionen
    • 4.2.3-2
    • 4.2.3-3
    • 4.2.3-4
    • 4.2.3-5
    • 4.3.0+~4.2.1-1
    • 4.3.0-1
    • 4.3.1+~4.2.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Debian:13

    Softwareversionen
    • 4.2.3-3
    • 4.2.3-4
    • 4.2.3-5
    • 4.3.0+~4.2.1-1
    • 4.3.0-1
    • 4.3.1+~4.2.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Debian:14

    Softwareversionen
    • 4.2.3-3
    • 4.2.3-4
    • 4.2.3-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 4.3.0-1

    Auf 4.3.0-1 aktualisieren

  • multiparty npm

    Betroffene Versionsbereiche
    • SEMVER: < 4.3.0

    Auf 4.3.0 aktualisieren

  • node-multiparty Ubuntu:16.04:LTS

    Softwareversionen
    • 4.0.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:18.04:LTS

    Softwareversionen
    • 4.0.0-1
    • 4.0.0-1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:20.04:LTS

    Softwareversionen
    • 4.2.1-1
    • 4.2.1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:22.04:LTS

    Softwareversionen
    • 4.2.2-2
    • 4.2.2-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:24.04:LTS

    Softwareversionen
    • 4.2.3-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:25.10

    Softwareversionen
    • 4.2.3-2
    • 4.2.3-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:26.10

    Softwareversionen
    • 4.2.3-5
    • 4.3.0+~4.2.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-multiparty Ubuntu:26.04:LTS

    Softwareversionen
    • 4.2.3-3
    • 4.2.3-4build1
    • 4.2.3-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →