CVE-2026-113872

Nome do Software Vulnerável e Versões Afetadas multer versões 2.0.0 até 2.4.9

Descrição Existe uma condição de corrida no analisador multipart quando configurado com uma função fileFilter() assíncrona. Se uma requisição for abortada enquanto um fileFilter() assíncrono ainda estiver pendente, o callback pode retomar um fluxo de análise que já foi encerrado. Isso faz com que o analisador subjacente emita um erro em um fluxo que não possui mais um ouvinte de erro, resultando em um evento de erro não tratado que interrompe o processo do Node.js, levando a uma Negação de Serviço. Este problema afeta qualquer aplicação que utilize um fileFilter() assíncrono, independentemente do mecanismo de armazenamento utilizado.

Recomendações Atualize o multer para a versão 2.5.0 ou posterior. Como solução temporária, utilize uma função fileFilter() síncrona.