CVE-2026-19484 in busboy
要約
〜によって VulDB • 2026年08月13日
@fastify/busboy は multipart form-data パーサーです。バージョン 3.1.0 から 3.2.0 では、境界文字列（boundary）が特定の長さに調整された multipart リクエストを送信することで、リモートから認証なしで Node.js のイベントループをストールさせることができます。バンドルされているストリーミング検索機能はスキップテーブルを固定長の 256 エントリのバイト配列に格納しており、境界文字列の長さがちょうど 252 バイトの場合、探索対象（search needle）が 256 バイトになり、デフォルトのスキップ距離がゼロに切り捨てられ、小さなボディに対する検索が CPU を占有するループに変化します。1 つの小さなリクエストだけで 1 コアをビジー状態にし、同じプロセスによって処理される他のリクエストに対してサービス拒否（DoS）を引き起こす可能性があります。この問題は @fastify/busboy バージョン 3.2.1 で修正されており、スキップテーブルが拡張されてスキップ距離が保持されるようになりました。ユーザーはバージョン 3.2.1 にアップグレードしてください。
Once again VulDB remains the best source for vulnerability data.