CVE-2026-88932: отказ в обслуживании в multer через осиротевшие записи на диск
В multer 2.2.0–2.3.0 обнаружена уязвимость (CVSS 5.3), позволяющая неаутентифицированному злоумышленнику накапливать файлы-сироты на диске путём многократного прерывания загрузок. Проблема актуальна для приложений на Node.js, использующих дисковое хранилище multer. Исправлено в версии 2.4.0.
Подробности
Уязвимости подвержены версии multer с 2.2.0 по 2.3.0 включительно. Механизм её эксплуатации связан с обработкой прерванных загрузок при использовании дискового хранилища (disk storage). Когда клиент прерывает запрос на загрузку файла в середине процесса, multer выполняет процедуру очистки (abort cleanup). Однако записи на диск, которые завершаются уже после того, как очистка была выполнена, не удаляются. В результате каждая прерванная загрузка может оставить на диске так называемый осиротевший файл (orphaned file). Удалённый неаутентифицированный атакующий может многократно инициировать и прерывать загрузки, накапливая такие файлы. Постепенное исчерпание дискового пространства приводит к отказу в обслуживании — легитимные запросы перестают обрабатываться, а приложение или сервер могут выйти из строя. Для эксплуатации не требуется аутентификации, что расширяет круг потенциальных атакующих. Важно отметить, что уязвимость затрагивает именно конфигурации с дисковым хранилищем. Приложения, использующие исключительно хранение в памяти, описанному сценарию не подвержены.Что делать
Разработчикам и администраторам рекомендуется незамедлительно обновить multer до версии 2.4.0 или более поздней — именно в ней устранена проблема с осиротевшими записями. Если немедленное обновление невозможно, следует рассмотреть временные меры: — ограничить размер и количество одновременно принимаемых загрузок на уровне приложения или обратного прокси; — настроить периодическую очистку каталогов временного хранения от устаревших файлов; — вести мониторинг свободного дискового пространства и настроить оповещения о его критическом снижении; — по возможности ограничить доступ к эндпоинтам загрузки средствами аутентификации и rate limiting. После обновления рекомендуется проверить каталоги, использовавшиеся для дискового хранения, и удалить накопившиеся файлы-сироты вручную.Итог
CVE-2026-88932 — умеренная по критичности, но легко эксплуатируемая уязвимость отказа в обслуживании в multer. Отсутствие необходимости в аутентификации и простота атаки делают своевременное обновление до версии 2.4.0 первоочередной задачей для всех, кто использует дисковое хранилище этого мидлвара.Источник: CVE Project (cvelistV5)