CVE-2026-19481
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
@fastify/busboy w wersjach 1.0.0 do 3.2.0 jest podatny na awarię parsera przez wysłanie nagłówka części o nazwie będącej właściwością dziedziczoną, taką jak __proto__ lub constructor. Może to spowodować wyjątek TypeError i w niektórych przypadkach zakończenie procesu Node.js, prowadząc do nieuwierzytelnionego ataku DoS. Problem naprawiono w wersji 3.2.1.
Ocena ryzyka
Ryzyko obejmuje awarię aplikacji Node.js, co może prowadzić do niedostępności usług.
Rekomendacja
Zaleca się aktualizację @fastify/busboy do wersji 3.2.1 lub nowszej.
Inne podatności w @fastify/busboy
Zobacz wszystkie- CVE-2026-74866Średnie
@fastify/busboy to parser multipart form-data dla Node.js. Jego parser nagłówków części dzieli linie tylko na sekwencję CRLF, więc pojedynczy CR lub LF w nagłówku nie jest traktowany jako znak nowej linii i jest przekazywany do nazwy pliku i nazwy pola. Atakujący może wstrzyknąć znaki kontrolne, co prowadzi do zanieczyszczenia nazw plików, fałszowania logów lub wstrzyknięcia nagłówków. Wersje do 3.2.1 są podatne, poprawka w 3.2.2.
- CVE-2026-19484Wysokie
@fastify/busboy w wersjach 3.1.0 do 3.2.0 jest podatny na atak DoS polegający na zablokowaniu pętli zdarzeń Node.js przez wysłanie żądania multipart z granicą o określonej długości. Atakujący może wysłać pojedyncze małe żądanie, które obciąża jeden rdzeń procesora i uniemożliwia obsługę innych żądań. Problem naprawiono w wersji 3.2.1.
Oryginalny opis (angielski, źródło NVD)
@fastify/busboy is a multipart form-data parser. In versions 1.0.0 through 3.2.0, an attacker who can submit multipart form-data can crash the parser by sending a part header whose name is a prototype-inherited property such as __proto__ or constructor. The internal header parser stores headers in a plain JavaScript object and assumes each value is an array, so an inherited property name resolves to a truthy non-array value and triggers a TypeError. In the common pipe integration the failure surfaces as an error event, but in direct write or end usage the exception is thrown synchronously and can terminate the Node.js process, causing an unauthenticated denial of service. The issue is fixed in @fastify/busboy 3.2.1, which creates the header object with a null prototype. Users should upgrade to 3.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS