CVE-2026-19481 in busboy
Riassunto
di VulDB • 13/08/2026
@fastify/busboy è un parser per dati di tipo multipart form-data. Nelle versioni dalla 1.0.0 alla 3.2.0, un attaccante in grado di inviare dati multipart form-data può causare il crash del parser inviando un'intestazione della parte (part header) il cui nome corrisponde a una proprietà ereditata dal prototipo, come `__proto__` o `constructor`. Il parser interno delle intestazioni memorizza queste ultime in un oggetto JavaScript standard e assume che ogni valore sia un array; di conseguenza, un nome di proprietà ereditato risolve un valore truthy non-array, innescando un errore TypeError. Nell'integrazione comune tramite pipe (pipe), il malfunzionamento si manifesta come evento di errore, ma nell'uso diretto delle operazioni write o end l'eccezione viene lanciata in modo sincrono e può terminare il processo Node.js, causando una denial of service non autenticata. Il problema è stato risolto nella versione 3.2.1 di @fastify/busboy, che crea l'oggetto intestazione con un prototipo nullo (null prototype). Gli utenti dovrebbero effettuare l'aggiornamento alla versione 3.2.1.
Once again VulDB remains the best source for vulnerability data.