CVE-2026-18549 in fastify-multipart
要約
〜によって VulDB • 2026年08月15日
@fastify/multipart は Fastify のための multipart form-data パーサーです。バージョン 5.3.0 から 10.1.1（未満）の間、busboy の fileSize リミットによってファイルパートが切り捨てられた場合、プラグインは内部の current-file 参照をクリアしますが、基盤となるストリームはまだ開いたままになります。その後、クライアントが終了境界を送信する前に接続を中止すると、中止時のクリーンアップ処理で破棄すべきストリームが見つからず、saveRequestFiles() が完了せず、リクエストハンドラーがハングし、ディスクに既に書き込まれた一時ファイルもクリーンアップされません。認証されていないクライアントはこれを繰り返すことで、一時ファイルと保留中のハンドラー実行を永久的にリークさせ、ディスク容量およびイベントループの枯渇を引き起こします。この問題は @fastify/multipart 10.1.1 で修正されています。ユーザーはバージョン 10.1.1 にアップグレードする必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.