🇰🇷 한글 설명
Node.js의 multer 미들웨어에서 비동기 fileFilter와 파일 크기 제한을 함께 사용할 때 레이스 컨디션이 발생합니다. 이로 인해 설정된 크기 제한을 초과하는 파일이 거부되지 않고 통과될 수 있습니다. 다만, 파서가 스트림을 제한 크기에서 자르기 때문에 무제한 리소스 소비로 이어지지는 않습니다.
💡 쉬운 설명
파일 크기를 제한하는 기능이 특정 상황에서 제대로 작동하지 않아, 정해진 용량보다 큰 파일이 업로드될 수 있는 문제입니다. 하지만 시스템이 완전히 멈추는 심각한 문제는 아니며, 설정된 크기만큼만 파일이 저장됩니다.
🇺🇸 원문 (English)
multer is a middleware for handling multipart/form-data in Node.js. When an application uses an asynchronous fileFilter together with the fileSize limit, a race condition in multer's file stream handling can allow a file that exceeds the configured size limit to bypass the size-limit rejection. All versions before 2.3.0 are affected. The impact is limited because the underlying multipart parser still truncates the stream at the size limit, so this is a bypass of the limit rejection rather than uncontrolled resource consumption. The issue is fixed in multer 2.3.0. Upgrade to multer 2.3.0 to remediate.
📍 영향받는 시스템
multer 2.3.0 미만 모든 버전
⚔️ 공격 벡터
비동기 fileFilter와 fileSize 제한을 동시에 사용하는 환경에서 레이스 컨디션을 유도하여 크기 제한 우회
🛡️ 대응 방법
multer 버전을 2.3.0 이상으로 업그레이드
🔧 검증 코드
출력된 multer의 버전이 2.3.0 미만인지 확인
npm list multer | grep multer