CVE-2026-117531

@fastify/multipart vulnerable to Denial of Service via a malformed upload hanging delayed file consumers

CVSS 3.1Medium

5.9/ 10.0

Опубликовано

2 ноября 2026 г.

Обновлено

2 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите @fastify/multipart до версии 10.1.7 или новее. Другие способы устранения отсутствуют.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Плагин @fastify/multipart уязвим к отказу в обслуживании при обработке некорректных запросов загрузки файлов. Удалённый злоумышленник может исчерпать ресурсы сервера открытыми зависшими соединениями.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях с 5.3.0 по 10.1.6 при обрыве тела запроса внутри файловой части без закрывающей границы парсер уничтожает поток файла без передачи ошибки. Если обработчик выполняет асинхронную работу перед чтением файла, поток зависает без событий error или end, удерживая соединение открытым.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Отказ в обслуживании (исчерпание серверных ресурсов и пула соединений); влияние ограничено доступностью.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

github.comhttps://github.com/fastify/fastify-multipart/security/advisories/GHSA-5849-5m6q-9632
cna.openjsf.orghttps://cna.openjsf.org/security-advisories.html

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-117531: @fastify/multipart vulnerable to Denial of Service via a malformed upload hanging delayed file consumers. URL: https://cve.futuretools.ru/cve/CVE-2026-117531

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_117531,
  title = {{CVE-2026-117531: @fastify/multipart vulnerable to Denial of Service via a malformed upload hanging delayed file consumers}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-117531}},
  note = {Оперативный инженерный анализ киберугроз}
}