Yuki-Matsuhashi

Um invasor não autenticado pode ignorar a filtragem baseada em caminho porque o callback `allowedPath` é avaliado antes da normalização de segmentos de ponto e separadores de caminho duplicados no pathname usado para a resolução de arquivos. Ao solicitar nomes de caminho não canônicos, como `//file`, `/./file` ou `/public/../private/file`, um invasor pode acessar arquivos que deveriam ter sido negados. Este problema anula a barreira de segurança estabelecida pelo `allowedPath`, mas não permite o acesso fora da raiz estática configurada.

Um problema de Negação de Serviço ocorre ao utilizar diskStorage. Uploads multipart abortados ou malformados deixam arquivos parciais órfãos no disco porque a chamada `Readable.pipe()` não propaga o sinal de destruição do fluxo para o `fs.WriteStream` subjacente. Isso permite que um invasor esgote o espaço em disco disparando inúmeros uploads abortados.

Ocorre traversal de caminho quando a listagem de diretórios está habilitada através da opção `list`. A função `dirList.path()` resolve diretórios fora da raiz estática configurada usando `path.join()` sem uma verificação de contenção. Um atacante remoto não autenticado pode obter listagens de diretórios para diretórios arbitrários acessíveis ao processo Node.js, expondo nomes de diretórios e arquivos, embora o conteúdo dos arquivos não seja revelado.