CVE-2026-18549 in fastify-multipart
요약
\~에 의해 VulDB • 2026. 08. 15.
@fastify/multipart은 Fastify용 multipart form-data 파서입니다. 버전 5.3.0 이상에서 10.1.1 미만까지의 버전에서 busboy fileSize 제한으로 인해 파일 파트가 잘릴 경우, 플러그인은 내부 현재 파일 참조를 지우지만 하위 스트림이 여전히 열려 있는 상태가 됩니다. 클라이언트가 종료 경계(boundary) 전송 전에 연결을 중단하면, 중단 정리 과정에서 파괴할 스트림을 찾지 못해 saveRequestFiles()가 완료되지 않고 요청 핸들러가 멈추며, 이미 디스크에 기록된 임시 파일은 청소되지 않습니다. 비인증(unauthenticated) 클라이언트는 이를 반복하여 임시 파일과 일시 중지된 핸들러 실행 영구 누수를 유발하고, 이는 디스크 및 이벤트 루프 고갈로 이어집니다. 이 문제는 @fastify/multipart 10.1.1에서 해결되었습니다. 사용자는 10.1.1로 업그레이드해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.