JVNDB-2026-031610

Express.jsのMulterにおけるリソースの枯渇に関する脆弱性

multerはNode.jsでmultipart/form-dataを処理するためのミドルウェアです。特別に細工された2つのテキストフィールド名を持つ小さなマルチパートリクエストによって、multerのフィールドパーサーが最大長のスパース配列を同期的に反復処理し、イベントループがブロックされ、プロセスが他のリクエストを処理できなくなります。最初のフィールドの大きな数値配列インデックスが最大長のスパース配列を割り当て、2つ目の非数値キーのフィールドがappend-field依存関係内で全長の反復処理を引き起こします。バージョン2.3.0以前のすべてが影響を受けるため、リモートでトリガ可能なサービス拒否攻撃となります。multer 2.3.0では、オプトインのfieldArrayIndexLimitオプションが追加されており、過大な配列インデックスを拒否します。対策として、multerを2.3.0にアップグレードし、limits.fieldArrayIndexLimitをアプリケーションが必要とする最大配列インデックスに設定してください。

Express.js

• Multer 2.3.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : multer vulnerable to Denial of Service via oversized array index in field names  Advisory  expressjs/multer  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-82333

1. National Vulnerability Database (NVD) : CVE-2026-82333

• [2026年09月03日]
    掲載