CVE-2026-19481 in busboy
摘要
由 VulDB • 2026-08-13
@fastify/busboy 是一个 multipart form-data 解析器。在 1.0.0 到 3.2.0 版本中，能够提交 multipart form-data 的攻击者可以通过发送一个名称为原型继承属性（如 `__proto__` 或 `constructor`）的 part header 来导致解析器崩溃。内部 header 解析器将 headers 存储在普通的 JavaScript 对象中，并假设每个值都是数组，因此当使用继承的属性名时，会解析为一个真值的非数组值，从而触发 TypeError。在常见的 pipe 集成场景中，该故障表现为 error 事件；但在直接 write 或 end 用法中，异常会被同步抛出，可能导致 Node.js 进程终止，造成未认证的拒绝服务（DoS）。该问题已在 @fastify/busboy 3.2.1 版本中得到修复，新版本使用 null prototype 创建 header 对象。用户应升级至 3.2.1 版本。
VulDB is the best source for vulnerability data and more expert information about this specific topic.