- Yama var
- Son 7 gün
- CWE-248
- CWE-404
CVE-2026-113872
multer'da asenkron fileFilter nedeniyle istek sonlandırıldığında hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- openjs
ÖzetTürkçe
multer, multipart/form-data dosya yüklemelerini işleyen bir Node.js ara katmanıdır (middleware). 2.0.0 ile 2.5.0 öncesi sürümlerde, multer asenkron bir fileFilter ile yapılandırıldığında tek bir istek Node.js sürecini çökertebilir. Bir dosyanın asenkron fileFilter işlemi hâlâ beklemedeyken istek iptal edilirse, bekleyen geri çağırma (callback), multer'ın zaten sonlandırdığı bir ayrıştırma akışını yeniden başlatır. Bu durumda alttaki ayrıştırıcı, artık hata dinleyicisi bulunmayan bir akışta hata yayar; Node bunu işlenmemiş bir error olayı olarak fırlatır ve süreç sonlanır. Depolama motorundan bağımsız olarak, asenkron fileFilter kullanan tüm uygulamalar etkilenir; senkron fileFilter kullanan yüklemeler etkilenmez. Sorun multer 2.5.0 sürümünde giderilmiştir ve kullanıcıların 2.5.0 veya daha yeni bir sürüme yükseltme yapması önerilir. Geçici çözüm olarak senkron bir fileFilter kullanılabilir. CVSS 3.1 vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H (Puan: 7.5, Önem: HIGH). İlgili zayıflık türleri: CWE-248, CWE-404.
Kaynaktaki açıklama (İngilizce)
multer is a middleware for Node.js that handles multipart/form-data file uploads. In versions from 2.0.0 before 2.5.0, when multer is configured with an asynchronous fileFilter, a single request can crash the Node.js process. If the request is aborted while one file's asynchronous fileFilter is still pending, the pending callback later resumes a parsing stream that multer has already torn down, and the underlying parser emits an error on a stream that no longer has an error listener, which Node raises as an unhandled error event so the process exits. Any application using multer with an asynchronous fileFilter is affected regardless of storage engine, while uploads using a synchronous fileFilter are not affected. The issue is fixed in multer 2.5.0, and users should upgrade to 2.5.0 or later. As a workaround, use a synchronous fileFilter.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| multer | ≥ 2.0.0, < 2.5.0 | 2.5.0 |
| 2.5.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.