CVE-2026-19481 in busboy
요약
\~에 의해 VulDB • 2026. 08. 13.
@fastify/busboy는 multipart form-data 파서입니다. 버전 1.0.0부터 3.2.0까지의 버전에서 공격자가 multipart form-data를 제출할 수 있는 경우, `__proto__`나 `constructor`와 같은 프로토타입 상속 속성인 이름의 파트 헤더를 전송하여 파서를 충돌시킬 수 있습니다. 내부 헤더 파서는 헤더를 일반 JavaScript 객체에 저장하며 각 값이 배열이라고 가정합니다. 따라서 상속된 속성명이 참(truthy)이지만 배열이 아닌 값을 참조하게 되어 TypeError가 발생합니다. 일반적인 pipe 통합 환경에서는 이 실패가 error 이벤트로 나타나지만, 직접 write 또는 end 메서드를 사용할 경우 예외가 동기적으로 throw되어 Node.js 프로세스를 종료시킬 수 있으며, 이는 비인증 상태에서의 서비스 거부(DoS)를 초래합니다. 해당 문제는 헤더 객체를 null prototype으로 생성하는 @fastify/busboy 3.2.1에서 수정되었습니다. 사용자는 버전 3.2.1로 업그레이드해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.