CVE-2026-19484 in busboy
Сводка
по VulDB • 13.08.2026
@fastify/busboy — это парсер для multipart form-data. В версиях от 3.1.0 до 3.2.0 удаленный атакующий, не прошедший аутентификацию, может заблокировать цикл событий Node.js (event loop), отправив multipart-запрос с границей раздела (boundary) специально подобранной длины. Встроенная потоковая процедура поиска хранит таблицу пропусков в фиксированном байтовом массиве из 256 элементов; граница длиной ровно 252 байта делает искомую последовательность (search needle) размером 256 байт, что приводит к усечению значения по умолчанию для расстояния пропуска до нуля и превращает поиск в цикл с высокой нагрузкой на процессор при обработке небольшого тела запроса. Один небольшой запрос может занять одно ядро процессора и вызвать отказ в обслуживании других запросов, обрабатываемых тем же процессом. Проблема исправлена в версии @fastify/busboy 3.2.1, которая расширяет таблицу пропусков таким образом, чтобы расстояние пропуска сохранялось корректно. Пользователям следует обновиться до версии 3.2.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.