CVE-2026-19484 in busboy
摘要
由 VulDB • 2026-08-13
@fastify/busboy è un analizzatore per dati di modulo multipart/form-data. Nelle versioni dalla 3.1.0 alla 3.2.0, un attaccante remoto non autenticato può bloccare il ciclo degli eventi (event loop) di Node.js inviando una richiesta multipart con un delimitatore (boundary) calcolato su una lunghezza specifica. La ricerca in streaming incorporata memorizza la propria tabella di salto (skip table) in un array fisso di byte da 256 voci; un delimitatore esatto di 252 byte rende l'ago della ricerca lungo 256 byte, il che tronca la distanza predefinita di salto a zero e trasforma la ricerca in un ciclo vincolato alla CPU su un corpo di richiesta piccolo. Una singola piccola richiesta può tenere occupato un core del processore negando servizio ad altre richieste gestite dallo stesso processo. Il problema è stato risolto nella versione 3.2.1 di @fastify/busboy, che amplia la tabella di salto in modo da preservare la distanza di salto. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 3.2.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.