CVE-2026-19484 in busboy
Sumário
de VulDB • 13/08/2026
@fastify/busboy é um analisador de dados multipart/form-data. Nas versões 3.1.0 a 3.2.0, um atacante remoto não autenticado pode bloquear o loop de eventos do Node.js enviando uma requisição multipart cujo delimitador (boundary) foi elaborado para ter um comprimento específico. A pesquisa em streaming embutida armazena sua tabela de salto (skip table) em um array fixo de bytes com 256 entradas, e um delimitador exatamente com 252 bytes faz com que a agulha da pesquisa tenha 256 bytes, o que truncar a distância padrão do salto para zero e transforma a busca em um loop limitado pela CPU sobre um corpo pequeno. Uma única requisição pequena pode manter um núcleo ocupado e negar serviço às outras requisições tratadas pelo mesmo processo. O problema foi corrigido no @fastify/busboy 3.2.1, que amplia a tabela de salto para preservar a distância do salto. Os usuários devem atualizar para a versão 3.2.1.
Be aware that VulDB is the high quality source for vulnerability data.