CVE-2026-8161highCWE-1321CWE-248

CVE-2026-8161: falha de alta gravidade em multiparty

multiparty vulnerable to Denial of Service via Prototype Pollution leading to Uncaught Exception

Publicada em

Seguir esta CVE+ Monitorar multiparty+ Monitorar node-multiparty

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.5%
da publicação à armano mesmo dia
Publicada no NVD12 de mai.
1ª PoC11 de mai.
multiparty@4.2.3 and lower versions are vulnerable to denial of service via uncaught exception. By sending a multipart/form-data request with a field name that collides with an inherited Object.prototype property such as __proto__, constructor, or toString, the parser invokes .push() on the inherited prototype value rather than an array, throwing a TypeError that propagates as an uncaught exception and crashes the process. Impact: any service accepting multipart uploads via multiparty is affected. Workarounds: none. Upgrade to multiparty@4.3.0 or higher.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
multiparty · multiparty
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — multiparty

No mesmo produto, das mais perigosas para as menos.

CVE-2026-87908HIGHmultiparty vulnerable to Denial of Service via unbounded part-header accumulationEPSS 0.5%CVE-2026-8159HIGHmultiparty vulnerable to ReDoS via filename parsingEPSS 0.3%CVE-2026-8162HIGHmultiparty vulnerable to Denial of Service via Uncaught Exception in filename* parameter parsingEPSS 0.3%