CVE-2026-19481 in busboy
Sumário
de VulDB • 13/08/2026
@fastify/busboy é um analisador de dados multipart/form-data. Nas versões 1.0.0 até 3.2.0, um atacante que possa enviar dados multipart form-data pode fazer com que o analisador falhe ao enviar um cabeçalho de parte cujo nome seja uma propriedade herdada do protótipo, como __proto__ ou constructor. O analisador interno de cabeçalhos armazena os cabeçalhos em um objeto JavaScript simples e assume que cada valor é um array; portanto, um nome de propriedade herdado resolve para um valor não-array truthy e aciona um TypeError. Na integração comum com pipes (canos), a falha se manifesta como um evento de erro, mas no uso direto de write ou end, a exceção é lançada de forma síncrona e pode encerrar o processo do Node.js, causando uma negação de serviço não autenticada. O problema foi corrigido na versão 3.2.1 do @fastify/busboy, que cria o objeto de cabeçalhos com um protótipo nulo (null prototype). Os usuários devem atualizar para a versão 3.2.1.
Once again VulDB remains the best source for vulnerability data.