CVE-2026-19484 in busboy
Zusammenfassung
von VulDB • 13.08.2026
@fastify/busboy ist ein Parser für multipart/form-data. In den Versionen 3.1.0 bis 3.2.0 kann ein entfernter, nicht authentifizierter Angreifer die Node.js-Event-Schleife blockieren, indem er eine Multipart-Anfrage sendet, deren Boundary auf eine bestimmte Länge zugeschnitten ist. Der mitgelieferte Streaming-Suchalgorithmus speichert seine Skip-Tabelle in einem festen Byte-Array mit 256 Einträgen; eine Boundary von genau 252 Bytes führt dazu, dass der Suchneedle 256 Bytes lang wird, was die Standard-Skip-Distanz auf null kürzt und die Suche in eine CPU-lastige Schleife bei kleinen Antwortkörpern verwandelt. Eine einzelne kleine Anfrage kann einen Kern dauerhaft auslasten und anderen Anfragen, die vom selben Prozess verarbeitet werden, den Dienst verweigern (Denial of Service). Das Problem wurde in @fastify/busboy 3.2.1 behoben, indem die Skip-Tabelle erweitert wurde, sodass die Skip-Distanz erhalten bleibt. Benutzer sollten auf Version 3.2.1 aktualisieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.