Express 团队已发布 multiparty 4.3.0，修复了多部分表单解析器中的三个拒绝服务漏洞。
🌐 The Express team has released multiparty 4.3.0, addressing three denial of service vulnerabilities in the multipart form parser.
Warning
我们建议升级到最新版的 multiparty 以保障你的应用安全。如果你有 package-lock.json，可以通过运行以下命令更新依赖：
🌐 We recommend upgrading to the latest version of multiparty to secure your applications. If you have a package-lock.json, you can update the dependency by running:
npm update multiparty以下漏洞已被修复：
🌐 The following vulnerabilities have been addressed:
多方实用模块中的 CVE-2026-8159（高危）
🌐 CVE-2026-8159 in multiparty utility module (High)
multiparty 版本 <= 4.2.3 易受通过文件名解析引起的正则表达式拒绝服务攻击影响
使用带有长头部值的精心构造的多部分上传可能导致在 Content-Disposition 文件名解析器中的正则表达式匹配耗时数秒，从而阻塞 Node.js 事件循环。任何通过 multiparty 接受多部分上传的服务都会受到影响。大约 8 KB 的小头部就足以触发易受攻击的回溯。
🌐 A crafted multipart upload with a long header value can cause regex matching in the Content-Disposition filename parser to take seconds, blocking the Node.js event loop. Any service accepting multipart uploads via multiparty is affected. A small header of around 8 KB is sufficient to trigger the vulnerable backtracking.
受影响版本：<= 4.2.3
修补版本：>= 4.3.0
欲了解更多详情，请参见 GHSA-65x3-rw7q-gx94。
🌐 For more details, see GHSA-65x3-rw7q-gx94.
多方实用模块中的 CVE-2026-8161（高危）
🌐 CVE-2026-8161 in multiparty utility module (High)
multiparty 版本 <= 4.2.3 易受到通过原型污染导致未捕获异常的拒绝服务攻击
具有与继承自 Object.prototype 的属性（例如 __proto__、constructor 或 toString）名称冲突的多部分上传，会导致解析器在继承的原型值上调用 .push()，而不是在数组上调用，从而抛出一个 TypeError，这个错误作为未捕获异常传播并导致进程崩溃。任何通过 multiparty 接受多部分上传的服务都会受到影响。
🌐 A multipart upload with a field name that collides with an inherited Object.prototype property such as __proto__, constructor, or toString causes the parser to invoke .push() on the inherited prototype value rather than an array, throwing a TypeError that propagates as an uncaught exception and crashes the process. Any service accepting multipart uploads via multiparty is affected.
受影响版本：<= 4.2.3
修补版本：>= 4.3.0
欲了解更多详情，请参见 GHSA-qxch-whhj-8956。
🌐 For more details, see GHSA-qxch-whhj-8956.
多方实用模块中的 CVE-2026-8162（高危）
🌐 CVE-2026-8162 in multiparty utility module (High)
多方 版本 <= 4.2.3 易受通过 filename 参数解析中的未捕获异常导致的拒绝服务攻击*
带有 Content-Disposition 头且其 filename* 参数包含格式错误的百分号编码的多部分上传会导致解析器在没有 try/catch 的情况下对该值调用 decodeURI。由此产生的 URIError 会作为未捕获的异常传播并导致进程崩溃。任何通过 multiparty 接受多部分上传的服务都会受到影响。
🌐 A multipart upload with a Content-Disposition header whose filename* parameter contains a malformed percent-encoding causes the parser to invoke decodeURI on the value without try/catch. The resulting URIError propagates as an uncaught exception and crashes the process. Any service accepting multipart uploads via multiparty is affected.
受影响版本：<= 4.2.3
修补版本：>= 4.3.0
欲了解更多详情，请参见 GHSA-xh3c-6gcq-g4rv。
🌐 For more details, see GHSA-xh3c-6gcq-g4rv.
我们建议升级到最新版本的多方以保障你的应用安全。
🌐 We recommend upgrading to the latest version of multiparty to secure your applications.
