PT-2026-71407
CVE-2026-19481
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@fastify/busboy من الإصدار 1.0.0 حتى 3.2.0
الوصف
قد تحدث ثغرة «رفض الخدمة» (DoS) دون الحاجة إلى مصادقة عندما يرسل المهاجم بيانات نموذج متعددة الأجزاء (multipart form-data) تحتوي على رأس جزء (part header) يحمل اسمًا يمثل خاصية موروثة من النموذج الأولي (prototype)، مثل
proto أو constructor. يستخدم محلل الرؤوس الداخلي كائن JavaScript عادي لتخزين الرؤوس ويتوقع أن تكون كل قيمة عبارة عن مصفوفة. وعند استخدام خاصية موروثة من النموذج الأولي، يتم تحويلها إلى قيمة غير مصفوفة، مما يؤدي إلى حدوث خطأ TypeError. واعتمادًا على التكامل، ينتج عن ذلك حدث خطأ أو استثناء متزامن يمكن أن يؤدي إلى إنهاء عملية Node.js.التوصيات
الترقية إلى الإصدار 3.2.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾