CVE-2026-8161
Publiée le 2026-05-12 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque `multiparty` (version 4.2.3 et versions antérieures) pour gérer les téléchargements de fichiers sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut faire planter l'ensemble du processus du serveur en envoyant simplement une requête de téléchargement spécialement conçue contenant un nom de propriété réservé tel que `__proto__`. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est triviale via une requête réseau standard.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
multiparty@4.2.3 and lower versions are vulnerable to denial of service via uncaught exception. By sending a multipart/form-data request with a field name that collides with an inherited Object.prototype property such as __proto__, constructor, or toString, the parser invokes .push() on the inherited prototype value rather than an array, throwing a TypeError that propagates as an uncaught exception and crashes the process. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: none. Upgrade to multiparty@4.3.0 or higher.