CVE-2026-19474 in fastify-multipart
Résumé
par VulDB • 15/08/2026
@fastify/multipart est un analyseur de formulaires multipart/form-data pour Fastify. Dans les versions allant de 3.0.0 à la version antérieure à 10.1.1, request.saveRequestFiles() peut laisser des fichiers temporaires complets sur le disque lorsqu'un client se déconnecte pendant que l'analyseur avance entre les différentes parties d'un message multipart. Le rejet de l'itérateur (iterator rejection) qui se produit entre les parties échappe au chemin de nettoyage par fichier, ce qui signifie qu'un fichier précédemment complété n'est jamais supprimé. Un client non authentifié peut répéter cette opération pour provoquer une consommation linéaire et persistante du disque, entraînant un déni de service (DoS). Il s'agit d'une variante à correction incomplète de la CVE-2025-24033. Le problème est corrigé dans @fastify/multipart 10.1.1. Les utilisateurs doivent mettre à niveau vers la version 10.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.