CVE-2026-19474 in fastify-multipart
要約
〜によって VulDB • 2026年08月16日
@fastify/multipart は Fastify のための multipart form-data パーサーです。バージョン 3.0.0 から 10.1.1（未満）の間、リクエスト.saveRequestFiles() メソッドは、パーサーがマルチパートのパーツ間で処理を進めている際にクライアントが切断すると、完了した一時ファイルをディスク上に残すことがあります。パーツ間のイテレーター拒否（iterator rejection）が発生する箇所はファイルごとのクリーンアップパスの外側にあるため、以前に完了したファイルは削除されません。認証されていないクライアントはこの現象を繰り返すことで、持続的で線形なディスク消費を引き起こし、サービス妨害（DoS）に至ります。これは CVE-2025-24033 の不完全な修正バリアントです。この問題は @fastify/multipart 10.1.1 で修正されています。ユーザーはバージョン 10.1.1 にアップグレードする必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.