@fastify/busboy vulnerable to Denial of Service via prototype-named multipart part header — GHSA-X8MW-P69M-V3MX

Zusammenfassung

### Impact Versions of `@fastify/busboy` from 1.0.0 and prior to 3.2.1 are vulnerable to a Denial of Service. The multipart header parser stores part-header names on a plain JavaScript object, so a part header named `__proto__` or `constructor` resolves to an inherited value that is not an array, and the parser throws `TypeError: this.header[h].push is not a function`. Through the documented `req.pipe(busboy)`…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-10-02

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: hoch.
• Gemeldeter CVSS-Wert: 7.5 von 10.
• Gemeldeter EPSS-Wert: 0.00493.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: @fastify/busboy.

Produkt

npm: @fastify/busboy

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle
• CVE Record
• NVD

Nachweise und Herkunft

Kanonische Advisory-ID

GHSA-X8MW-P69M-V3MX

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-10-02

Letzte Quellenaktivität

2026-10-02

Weitere Kennungen

CVE-2026-19481

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.