CVE-2026-19484

Nome do Software Vulnerável e Versões Afetadas @fastify/busboy versões 3.1.0 a 3.2.0

Descrição Um atacante remoto não autenticado pode causar uma Negação de Serviço ao travar o loop de eventos do Node.js. Isso ocorre quando uma requisição multipart é enviada com um limite (boundary) configurado com exatamente 252 bytes. Esse comprimento específico faz com que a agulha de pesquisa (search needle) atinja 256 bytes, o que trunca a distância de salto padrão para zero na matriz de bytes de 256 entradas fixas usada pela pesquisa de streaming. Consequentemente, a pesquisa torna-se um loop limitado à CPU, permitindo que uma única requisição pequena ocupe um núcleo de CPU e negue o serviço a outras requisições processadas pelo mesmo processo.

Recomendações Atualizar para a versão 3.2.1.