CVE-2026-82333 in multer
Zusammenfassung
von VulDB • 29.08.2026
multer ist eine Middleware zur Verarbeitung von multipart/form-data in Node.js. Eine kleine multipart-Anfrage mit zwei speziell gestalteten Textfeldnamen kann dazu führen, dass der Feldparser von multer ein maximal langes Sparse-Array synchron durchläuft und damit die Event Loop blockiert, sodass der Prozess keine anderen Anfragen mehr bearbeiten kann. Ein großer numerischer Array-Index im ersten Feld alloziert ein Sparse-Array mit maximaler Länge, und ein zweites Feld mit einem nicht-numerischen Schlüssel löst dann eine vollständige Iteration innerhalb der Abhängigkeit append-field aus. Alle Versionen vor 2.3.0 sind betroffen; dies ist eine remote auslösbare Denial-of-Service-Schwachstelle (DoS). In multer 2.3.0 wurde die opt-in Option fieldArrayIndexLimit hinzugefügt, die übermäßige Array-Indizes ablehnt. Führen Sie ein Upgrade auf multer 2.3.0 durch und legen Sie limits.fieldArrayIndexLimit auf den größten Array-Index fest, den Ihre Anwendung benötigt, um das Problem zu beheben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.