JVNDB-2026-020021

Express.jsのMulterにおけるリソースの枯渇に関する脆弱性

影響：multerのバージョン1.0.0から2.1.1および3.0.0-alpha.1には、multipartフォームデータ内の深くネストされたフィールド名を介したサービス拒否の脆弱性があります。append-field依存ライブラリはフィールド名のブラケット表記をネストの深さに制限なく解析するため、攻撃者はCPUとメモリを消費する深くネストされたオブジェクト構造を割り当てることを強制できます。細工されたmultipartボディを含む単一のHTTPリクエストでこの脆弱性を悪用することが可能です。修正方法としては、ユーザーはmulterを2.2.0（2.x系列）または3.0.0-alpha.2（3.xプレリリース）にアップグレードし、新しいlimits.fieldNestingDepthオプションをアプリケーションで必要な最小深度に設定する必要があります。回避策としては、攻撃者がリクエストごとに送信可能なフィールド数を減らすために、limits.fieldsを適切な値に設定してください。これは問題を完全に緩和するものではありませんが、影響を制限します。

Express.js

• Multer 1.0.0 以上 2.2.0 未満
• Multer 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : multer vulnerable to Denial of Service via deeply nested field names  Advisory  expressjs/multer  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-5079

1. National Vulnerability Database (NVD) : CVE-2026-5079

• [2026年06月17日]
    掲載