JVNDB-2026-031563

fastifyのfastify-multipartにおける複数の脆弱性

@fastify/multipart は Fastify 用のマルチパートフォームデータパーサーです。バージョン 5.3.0 から 10.1.1（10.1.1 を含まず）までの間で、busboy の fileSize 制限がファイルパートを切り詰めた場合、プラグインは基盤となるストリームがまだ開いている状態にもかかわらず、内部の現在のファイル参照をクリアしてしまいます。その後、クライアントが終了境界を送信する前に接続を中断すると、abort のクリーンアップで破壊すべきストリームが見つからず、saveRequestFiles() が解決されないためリクエストハンドラがハングし、ディスクに既に書き込まれた一時ファイルが決してクリーンアップされません。認証されていないクライアントはこれを繰り返すことで、一時ファイルの永続的なリークやハンドラ実行の中断を引き起こし、ディスク容量およびイベントループが枯渇してしまう可能性があります。この問題は @fastify/multipart 10.1.1 で修正されています。ユーザーは 10.1.1 へアップグレードすることを推奨します。

fastify

• fastify-multipart 5.3.0 以上 10.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/multipart vulnerable to Denial of Service via aborted upload after fileSize limit  Advisory  fastify/fastify-multipart  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. リソースの枯渇(CWE-400) [その他]
2. ライフタイムを通してのリソースの不適切な制御(CWE-664) [その他]

1. CVE-2026-18549

1. National Vulnerability Database (NVD) : CVE-2026-18549

• [2026年09月03日]
    掲載