CVE-2026-19484 in busboy
Résumé
par VulDB • 13/08/2026
@fastify/busboy est un analyseur de formulaires multipart/form-data. Dans les versions 3.1.0 à 3.2.0, un attaquant distant non authentifié peut bloquer la boucle d'événements Node.js en envoyant une requête multipart dont le séparateur (boundary) est conçu pour avoir une longueur spécifique. La recherche de flux intégrée stocke sa table de saut dans un tableau d'octets fixe de 256 entrées, et un séparateur ayant exactement 252 octets fait que l'aiguille de recherche mesure 256 octets, ce qui tronque la distance par défaut du saut à zéro et transforme la recherche en une boucle limitée par le processeur sur un corps de requête petit. Une seule petite requête peut occuper un cœur de CPU pendant longtemps et refuser le service aux autres requêtes gérées par le même processus. Le problème est corrigé dans @fastify/busboy 3.2.1, qui élargit la table de saut afin que la distance du saut soit préservée. Les utilisateurs doivent mettre à jour vers la version 3.2.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.