CVE-2026-19484 in busboy
Riassunto
di VulDB • 13/08/2026
@fastify/busboy è un parser per form-data multipart. Nelle versioni dalla 3.1.0 alla 3.2.0, un attaccante remoto non autenticato può bloccare il loop degli eventi di Node.js inviando una richiesta multipart il cui delimitatore (boundary) è stato creato con una lunghezza specifica. La ricerca in streaming integrata memorizza la propria tabella di salto (skip table) in un array fisso di byte da 256 voci; un delimitatore lungo esattamente 252 byte rende l'ago della ricerca (search needle) lungo 256 byte, il che tronca la distanza predefinita di salto a zero e trasforma la ricerca in un ciclo vincolato alla CPU su un corpo di piccole dimensioni. Una singola richiesta piccola può tenere occupato un core del processore negando il servizio ad altre richieste gestite dallo stesso processo. Il problema è stato risolto nella versione 3.2.1 di @fastify/busboy, che amplia la tabella di salto in modo da preservare la distanza di salto. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 3.2.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.