Yuki-Matsuhashi

يمكن لمهاجم غير مصدق تجاوزه التصفية القائمة على المسار، وذلك لأن دالة الاستدعاء `allowedPath` يتم تقييمها قبل توحيد أجزاء النقطة وفواصل المسار المكررة في اسم المسار المستخدم لتحديد موقع الملف. من خلال طلب أسماء مسارات غير قياسية، مثل `//file` أو `/./file` أو `/public/../private/file`، يمكن للمهاجم الوصول إلى الملفات التي كان من المفترض منع الوصول إليها. تؤدي هذه المشكلة إلى تجاوز الحدود الأمنية التي وضعتها `allowedPath`، لكنها لا تسمح بالوصول خارج الجذر الثابت المُعد.

توجد مشكلة رفض الخدمة عند استخدام diskStorage. تؤدي عمليات التحميل متعددة الأجزاء التي تم إيقافها أو التي تحتوي على أخطاء في التنسيق إلى ترك ملفات جزئية متروكة على القرص لأن استدعاء `Readable.pipe()` لا ينقل إشارة تدمير الدفق إلى `fs.WriteStream` الأساسي. وهذا يسمح للمهاجم باستنفاد مساحة القرص عن طريق تشغيل العديد من عمليات التحميل التي تم إيقافها.

تحدث ثغرة «عبور المسار» (path traversal) عند تمكين عرض قائمة الدلائل عبر الخيار `list`. تقوم الدالة `dirList.path()` بحل مسارات الدلائل خارج الجذر الثابت المُعدّ باستخدام `path.join()` دون إجراء فحص للاحتواء. يمكن لمهاجم بعيد غير مصدق عليه الحصول على قوائم الدلائل لأي دلائل يمكن لعملية Node.js الوصول إليها، مما يؤدي إلى الكشف عن أسماء الدلائل والملفات، على الرغم من عدم الكشف عن محتويات الملفات.