JVNDB-2026-031639

Express.jsのMulterにおける複数の脆弱性

multerはNode.jsにおけるmultipart/form-dataの処理用ミドルウェアです。バージョン2.2.0において、ディスクベースのアップロードが書き込みストリームの完了前に中断または切り詰められた場合、multerのディスクストレージエンジンはファイルを目に見えなくしますが、基盤となる書き込み用ファイルディスクリプタを閉じずに残してしまい、削除されたにもかかわらず依然として開かれたディスクリプタが残ります。組み込みのディスクストレージを使用するアップロードルートに到達可能なリモート攻撃者は、中断または不正なmultipartアップロードを繰り返し送信でき、それぞれがファイルディスクリプタをリークし、プロセス終了までディスクブロックを保持し続けるため、リソース枯渇やサービス拒否状態を引き起こす可能性があります。この問題はmulter 2.3.0で修正されており、異常なソース終了時に宛先の書き込みストリームを閉じ、ストリームが閉じられるまでクリーンアップ処理を遅延させる仕組みが導入されています。問題の対策としては、multer 2.3.0へのアップグレードを推奨します。

Express.js

• Multer 2.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : multer vulnerable to Denial of Service via file descriptor leak on aborted uploads  Advisory  expressjs/multer  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. リソースの枯渇(CWE-400) [その他]
2. 不完全なクリーンアップ(CWE-459) [その他]

1. CVE-2026-77037

1. National Vulnerability Database (NVD) : CVE-2026-77037

• [2026年09月03日]
    掲載