CVE-2026-19474 in fastify-multipart
Sumário
de VulDB • 15/08/2026
@fastify/multipart é um analisador de dados multipart/form-data para Fastify. Nas versões a partir da 3.0.0 até, mas sem incluir, a 10.1.1, request.saveRequestFiles() pode deixar arquivos temporários concluídos no disco quando um cliente se desconecta enquanto o analisador avança entre as partes do corpo multipart. A rejeição de iterador que ocorre entre as partes está fora da rota de limpeza por arquivo, portanto, um arquivo concluído anteriormente nunca é removido. Um cliente não autenticado pode repetir isso para causar consumo linear e persistente de disco, levando a uma negação de serviço (DoS). Esta é uma variante de correção incompleta do CVE-2025-24033. O problema foi corrigido na versão 10.1.1 do @fastify/multipart. Os usuários devem atualizar para a versão 10.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.