CVE-2026-117531

Nome do Software Vulnerável e Versões Afetadas @fastify/multipart versões 5.3.0 até 10.1.6

Description Existe um problema onde o plugin não propaga um erro de análise para o fluxo de arquivo quando o corpo de uma requisição termina dentro de uma parte de arquivo sem um limite de fechamento, desde que o Content-Length esteja completo, o cliente não aborte e nenhum limite de tamanho de arquivo seja excedido. Isso faz com que o plugin destrua o fluxo de arquivo em andamento sem um erro. Consequentemente, manipuladores que realizam trabalho assíncrono antes de consumir o arquivo conectam-se a um fluxo que nunca emite um evento de erro ou de término, deixando a requisição sem resposta enquanto a conexão permanece aberta. Um cliente remoto não autenticado pode explorar isso enviando uploads malformados repetidamente para esgotar os recursos do servidor, levando a um Denial of Service (DoS), uma condição onde um serviço fica indisponível para seus usuários pretendidos.

Recommendations Atualize para a versão 10.1.7 ou posterior.