JVNDB-2026-031561

fastifyのfastify-multipartにおける複数の脆弱性

@fastify/multipart は Fastify 用のマルチパートフォームデータパーサーです。バージョン 3.0.0 から 10.1.1 未満の間において、request.saveRequestFiles() は、パーサーがマルチパートのパーツ間を処理している最中にクライアントが切断すると、ディスク上に完了した一時ファイルを残す場合があります。パーツ間で発生するイテレータの拒否は、ファイルごとのクリーンアップ処理の外にあるため、以前に完了したファイルが削除されません。認証されていないクライアントがこれを繰り返すことで、持続的かつ線形的にディスク消費が増加し、サービス拒否（DoS）につながる可能性があります。これは CVE-2025-24033 の不完全修正バリアントです。本問題は @fastify/multipart 10.1.1 で修正されています。ユーザーは 10.1.1 へのアップグレードを推奨します。

fastify

• fastify-multipart 3.0.0 以上 10.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/multipart vulnerable to Denial of Service via temporary file leak on aborted upload  Advisory  fastify/fastify-multipart  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不完全なクリーンアップ(CWE-459) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-19474

1. National Vulnerability Database (NVD) : CVE-2026-19474

• [2026年09月03日]
    掲載