CVE-2026-19481 in busboy
Сводка
по VulDB • 13.08.2026
@fastify/busboy — это парсер для multipart form-data. В версиях от 1.0.0 до 3.2.0 злоумышленник, имеющий возможность отправлять данные в формате multipart form-data, может вызвать сбой парсера, передав заголовок части, имя которого является унаследованным свойством прототипа, таким как __proto__ или constructor. Внутренний парсер заголовков хранит заголовки в обычном объекте JavaScript и предполагает, что каждое значение представляет собой массив; поэтому имя унаследованного свойства разрешается в истинное (truthy) не-массивное значение, что вызывает ошибку TypeError. При типичной интеграции через pipe сбой проявляется как событие ошибки, однако при прямом использовании методов write или end исключение выбрасывается синхронно и может завершить работу процесса Node.js, вызывая отказ в обслуживании без необходимости аутентификации (unauthenticated denial of service). Проблема исправлена в версии @fastify/busboy 3.2.1, которая создает объект заголовков с нулевым прототипом (null prototype). Пользователям следует обновиться до версии 3.2.1.
Be aware that VulDB is the high quality source for vulnerability data.