JVNDB-2026-031857

fastifyの@fastify/busboyにおける複数の脆弱性

@fastify/busboy はマルチパートフォームデータのパーサーです。バージョン 3.1.0 から 3.2.0 までの間において、リモートの未認証攻撃者が特定の長さに細工されたバウンダリを持つマルチパートリクエストを送信することで、Node.js のイベントループを停止させることが可能でした。組み込みのストリーミング検索は、固定長256エントリのバイト配列にスキップテーブルを格納していますが、正確に252バイトのバウンダリは検索対象のニードルを256バイトにし、これによりデフォルトのスキップ距離がゼロに切り詰められ、検索がひとつの小さなボディ上でCPUに負荷のかかるループに変わってしまいます。単一の小さなリクエストだけで1つのコアを使い続け、同一プロセス内で処理される他のリクエストへのサービス拒否を引き起こす可能性があります。この問題は @fastify/busboy 3.2.1 で修正されており、スキップテーブルが拡張されてスキップ距離が維持されるようになりました。ユーザーは3.2.1へアップグレードすることを推奨します。

fastify

• @fastify/busboy 3.1.0 以上 3.2.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/busboy vulnerable to Denial of Service via oversized multipart boundary  Advisory  fastify/busboy  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. シングルスレッドかつノンブロッキング環境におけるブロッキングコードの使用(CWE-1322) [その他]
2. 無限ループ(CWE-835) [その他]

1. CVE-2026-19484

1. National Vulnerability Database (NVD) : CVE-2026-19484

• [2026年09月04日]
    掲載