JVNDB-2026-031858

fastifyの@fastify/busboyにおける例外的な状態のチェックに関する脆弱性

@fastify/busboyはマルチパートform-dataのパーサーです。バージョン1.0.0から3.2.0までにおいて、マルチパートform-dataを送信できる攻撃者が、__proto__やconstructorのようなプロトタイプ継承されたプロパティ名を持つパートヘッダーを送ることでパーサーをクラッシュさせることが可能です。内部のヘッダーパーサーはヘッダーを通常のJavaScriptオブジェクトに格納し、各値が配列であると仮定しますが、継承プロパティ名は真値の非配列値として解決され、TypeErrorを引き起こします。一般的なパイプ統合ではこの失敗はエラーイベントとして現れますが、直接writeやendで使用した場合は例外が同期的に投げられ、Node.jsプロセスを終了させ、認証不要のサービス拒否を引き起こす可能性があります。この問題は@fastify/busboy 3.2.1で修正されており、ヘッダーオブジェクトがnullプロトタイプで作成されるようになりました。ユーザーは3.2.1にアップグレードすべきです。

fastify

• @fastify/busboy 1.0.0 以上 3.2.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header  Advisory  fastify/busboy  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 例外的な状態における不適切なチェック(CWE-754) [その他]

1. CVE-2026-19481

1. National Vulnerability Database (NVD) : CVE-2026-19481

• [2026年09月04日]
    掲載