CVE-2026-19481 in busboy
Zusammenfassung
von VulDB • 13.08.2026
@fastify/busboy ist ein Parser für multipart/form-data. In den Versionen 1.0.0 bis 3.2.0 kann ein Angreifer, der in der Lage ist, multipart form data zu übermitteln, den Parser zum Absturz bringen, indem er einen Teilheader sendet, dessen Name eine von Prototyp geerbte Eigenschaft wie `__proto__` oder `constructor` ist. Der interne Header-Parser speichert Header in einem einfachen JavaScript-Objekt und geht davon aus, dass jeder Wert ein Array ist; daher führt ein vererbter Eigenschaftsname zu einem truthy-Wert ungleich eines Arrays und löst einen TypeError aus. Bei der gängigen Pipe-Integration äußert sich das Versagen als Error-Ereignis, bei direktem Schreiben oder Verwendung von `end` wird die Ausnahme jedoch synchron ausgelöst und kann den Node.js-Prozess beenden, was zu einem nicht authentifizierten Denial of Service (DoS) führt. Das Problem wurde in @fastify/busboy 3.2.1 behoben, das das Header-Objekt mit einem Null-Prototyp erstellt. Benutzer sollten auf Version 3.2.1 aktualisieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.