CVE-2026-8161

总结

[email protected] 及更低版本存在因未捕获异常导致的拒绝服务漏洞。通过发送一个 multipart/form-data 请求，其中字段名与继承的 Object.prototype 属性（如 __proto__、constructor 或 toString）冲突，解析器会在继承的原型值上调用 .push() 而非数组，从而抛出 TypeError，该异常作为未捕获异常传播并导致进程崩溃。影响：任何通过 multiparty 接受 multipart 上传的服务均受影响。暂无变通方案。请升级至 [email protected] 或更高版本。

• multiparty-CVE-2026-8161PoC

  CVE-2026-8161 的概念验证漏洞利用程序，这是 multiparty multipart 解析器中的一个拒绝服务漏洞，演示了原型污染导致未捕获异常和崩溃的过程。