file-type: ZIP 解压缩炸弹 DoS 通过 [Content_Types].xml 条目

CVE-2026-32630 在 file-type 库中允许攻击者在分析恶意 ZIP 文件时触发过多的内存增长。问题在于 file-type 如何处理已知大小的 ZIP 文件以确定其类型。虽然对于基于流的检测施加了限制，但这些限制不适用于已知大小的输入。一个小的压缩 ZIP 文件可以被设计为在检测过程中触发显著的扩展，尤其是在尝试识别 OOXML 等基于 ZIP 的格式时。这可能导致拒绝服务 (DoS) 条件，从而耗尽系统内存资源。

Applications built on Node.js that rely on the file-type module for file type identification are at risk. This includes web applications, file processing services, and any system handling user-uploaded files. Legacy applications using older versions of file-type are particularly vulnerable, as are applications that do not perform adequate input validation on uploaded files.

• nodejs / server:

  ps aux | grep file-type | grep -v grep | awk '{print $2}' | xargs -n 1 node -e 'const ft = require("file-type"); console.log(ft.fileType(Buffer.alloc(0).toString())' # Check for excessive memory usage during file type detection

• generic web:

  curl -I 'http://your-application/file-upload' # Check for file upload endpoints
  grep -i 'zip' /var/log/apache2/access.log # Monitor for ZIP file uploads

1. 2026-03-13Disclosure

   disclosure

1. 已保留2026-03-12
2. 发布日期2026-03-13
3. 修改日期2026-03-19
4. EPSS 更新日期2026-03-23

减轻此漏洞的解决方案是将 file-type 库更新到 21.3.2 或更高版本。此版本修复了已知大小的输入缺乏扩展限制的问题，确保类型检测过程不会消耗过多的内存，即使在分析恶意 ZIP 文件时也是如此。建议尽快应用此更新以保护您的系统免受潜在攻击。此外，请审查 file-type 处理的文件的来源，以确保它们来自受信任的来源。