multer vulnerable to Denial of Service via file descriptor leak on aborted uploads
Impact
A vulnerability in multer 2.2.0 allows an attacker to trigger a Denial of Service (DoS) by aborting or truncating multipart uploads. When using diskStorage, the destination write stream is not closed if the upload is aborted before it finishes, so each failed request leaks an open file descriptor and retains its disk blocks until the process exits. Repeated failed uploads can exhaust the available file descriptors. All applications using multer's disk storage are affected.
Patches
Users should upgrade to 2.3.0.
Workarounds
None.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | multer | >= 2.2.0, < 2.3.0 | 2.3.0 |
Odnośniki
- https://github.com/expressjs/multer/security/advisories/GHSA-qfvm-cv95-jqjf
- https://nvd.nist.gov/vuln/detail/CVE-2026-77037
- https://github.com/expressjs/multer/commit/eef74440b491ef0f976f3d25895e8089ae495df0
- https://cna.openjsf.org/security-advisories.html
- https://github.com/expressjs/multer
- https://github.com/expressjs/multer/releases/tag/v2.3.0
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-400, CWE-459- Platforma
- npm
- Paczka
multer- Ujawniono
- 08.09.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-qfvm-cv95-jqjf - CC BY 4.0
Historia podatności: multer
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 05.2025 09.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 11
- Średnia 2
- Niska 1
Ujawnienia w latach
- 2025: 4
- 2026: 10
-
multer vulnerable to Denial of Service via file descriptor leak on aborted uploads ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.