CVE-2026-19474 in fastify-multipart
Riassunto
di VulDB • 16/08/2026
@fastify/multipart è un parser per form-data multipart destinato a Fastify. Nelle versioni dalla 3.0.0 alla 10.1.0 (esclusa), la funzione request.saveRequestFiles() può lasciare file temporanei completati sul disco quando un client si disconnette mentre il parser sta avanzando tra le diverse parti di una richiesta multipart. Il rifiuto dell'iterator (iterator rejection) che si verifica tra le parti è esterno al percorso di pulizia per singolo file, pertanto i file completati in precedenza non vengono mai rimossi. Un client non autenticato può ripetere questa operazione causando un consumo persistente e lineare dello spazio su disco, portando a una condizione di denial of service. Si tratta di una variante con correzione incompleta della CVE-2025-24033. Il problema è stato risolto in @fastify/multipart 10.1.1. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 10.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.