CVE-2026-19484 in busboy
الملخص
بحسب VulDB • 13/08/2026
@fastify/busboy هو مُحلِّل لبيانات النماذج متعددة الأجزاء (multipart form-data). في الإصدارات من 3.1.0 إلى 3.2.0، يمكن لمهاجم عن بُعد غير مصرّح له تعطيل حلقة أحداث Node.js (event loop) بإرسال طلب متعدد الأجزاء تكون فيه الحدود (boundary) مُصمَّمة بطول محدد. يخزّن بحث التدفق المرفق جدول التخطي الخاص به في مصفوفة بايت ثابتة تحتوي على 256 مدخلاً، وطول حدود يبلغ بالضبط 252 بايت يجعل إبرة البحث بحجم 256 بايت، مما يؤدي إلى اقتطاع مسافة التخطي الافتراضية لتصبح صفراً وتحويل عملية البحث إلى حلقة مقيدة بموارد المعالج (CPU-bound) على جسم طلب صغير. يمكن لطلب واحد صغير أن يشغل نواة واحدة بالكامل وينفي الخدمة للطلبات الأخرى التي يتعامل معها نفس العملية. تم إصلاح هذه المشكلة في الإصدار 3.2.1 من @fastify/busboy، الذي وسّع جدول التخطي للحفاظ على مسافة التخطي. يُنصح المستخدمون بالترقية إلى الإصدار 3.2.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.