В multer нашли DoS-уязвимость CVE-2026-113872 с публичным PoC

Уязвимость CVE-2026-113872 (CVSS 7.5) в middleware multer для Node.js и Express версий 2.0.0–2.4.0 позволяет неаутентифицированному атакующему уронить процесс сервера одним усечённым multipart-запросом. Проблема возникает при асинхронном fileFilter и гонке с закрытием потока busboy; исправление вышло в версии 2.5.0.

• Затронуты multer >= 2.0.0 и < 2.5.0, исправлено в 2.5.0
• CVSS 7.5, публичный PoC, в CISA KEV не входит
• Атака — один усечённый multipart/form-data POST без авторизации
• Временный обход — синхронный fileFilter без async-вызовов