JVNDB-2026-015517

pillarjsのmultipartyにおける非効率的な正規表現の複雑さに関する脆弱性

multiparty@4.2.3およびそれ以下のバージョンは、Content-Dispositionのfilenameパラメータパーサーにおける正規表現のバックトラッキングを介したサービス拒否攻撃に対して脆弱です。長いヘッダー値を持つ細工されたマルチパートアップロードは、正規表現のマッチングに数秒かかり、イベントループをブロックする可能性があります。影響を受ける範囲は、multipartyを介してマルチパートアップロードを受け付けるすべてのサービスです。回避策としては、プロキシまたはゲートウェイ層でアップロードサイズを制限することで攻撃面を減らせますが、約8KBの小さなヘッダーでも脆弱なバックトラッキングを引き起こせるため、攻撃面を完全に排除することはできません。したがって、multiparty@4.3.0以上へのアップグレードを推奨します。

pillarjs

• multiparty 4.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : multiparty vulnerable to ReDoS via filename parsing  Advisory  pillarjs/multiparty  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-8159

1. National Vulnerability Database (NVD) : CVE-2026-8159

• [2026年05月15日]
    掲載