🇰🇷 한글 설명
Multer는 Node.js 파일 업로드 미들웨어인데, 빈 문자열의 필드명으로 multipart 요청을 보내면 처리되지 않은 예외로 인해 프로세스가 중단되는 DoS 취약점입니다. 1.4.4-lts.1 버전 이상 2.0.1 미만 모든 버전이 영향을 받으며, 2.0.1로 업그레이드하면 해결됩니다.
💡 쉬운 설명
Node.js 파일 업로드 도구인 Multer에서 빈 이름으로 파일을 업로드하라는 요청을 받으면 서버가 충돌합니다. 최신 버전(2.0.1)으로 업데이트하면 됩니다.
🇺🇸 원문 (English)
Multer is a node.js middleware for handling `multipart/form-data`. A vulnerability that is present starting in version 1.4.4-lts.1 and prior to version 2.0.1 allows an attacker to trigger a Denial of Service (DoS) by sending an upload file request with an empty string field name. This request causes an unhandled exception, leading to a crash of the process. Users should upgrade to `2.0.1` to receive a patch. No known workarounds are available.
📍 영향받는 시스템
Multer v1.4.4-lts.1 ~ v2.0.0 (Node.js middleware)
⚔️ 공격 벡터
빈 문자열 필드명을 포함한 multipart/form-data 업로드 요청 전송으로 프로세스 중단 유발
🛡️ 대응 방법
npm install [email protected] 또는 package.json에서 버전을 2.0.1 이상으로 업데이트 후 npm install 실행
🔧 검증 코드
VULNERABLE이 출력되면 취약 버전 설치 상태이며, PATCHED가 출력되면 패치된 버전 이상으로 업그레이드된 상태
npm list multer 2>/dev/null | grep -E 'multer@[0-2]\.[0-0]\.[0-0]' && echo 'VULNERABLE' || echo 'PATCHED'