CVE-2026-19481 in busboy
要約
〜によって VulDB • 2026年08月13日
@fastify/busboy は multipart form-data パーサーです。バージョン 1.0.0 から 3.2.0 の間、multipart form-data を送信できる攻撃者は、__proto__ や constructor などプロトタイプ継承されたプロパティである名前を持つパートヘッダーを送信することでパーサーをクラッシュさせることができます。内部のヘッダーパーサーはヘッダーをプレーンな JavaScript オブジェクトに格納し、各値が配列であると仮定しているため、継承されたプロパティ名は真偽値として評価される非配列の値に解決され、TypeError を引き起こします。一般的なパイプ統合では、この失敗はエラーイベントとして表面化しますが、直接書き込みや end メソッドの使用時には例外が同期的にスローされ、Node.js プロセスを終了させることで認証不要のサービス拒否（DoS）を引き起こす可能性があります。本問題は @fastify/busboy 3.2.1 で修正されており、ヘッダーオブジェクトは null プロトタイプで作成されます。ユーザーはバージョン 3.2.1 にアップグレードする必要があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.