CVE-2026-19481
Təsvir
@fastify/busboy multipart form-data analizatorudur. 1.0.0 və 3.2.0 versiyaları arasında, multipart form-data göndərə bilən hücumçu, adı __proto__ və ya constructor kimi prototiptən törəmiş xassə olan hissə başlığı (part header) göndərərək analizatoru sıradan çıxara bilər. Daxili başlıq analizatoru başlıqları sadə JavaScript obyektində saxlayır və hər bir dəyərin massiv olduğunu fərz edir, buna görə də törəmiş xassə adı həqiqətə yaxın (truthy) qeyri-massiv dəyəri ilə həll olunur və TypeError xətasını tetikləyir. Ümumi boru (pipe) inteqrasiyasında bu uğursuzluq xəta hadisəsi kimi üzə çıxır, lakin birbaşa yazma (write) və ya sonlandırma (end) istifadəsində istisna sinxron şəkildə atılır və Node.js prosesini dayandıra bilər ki, bu da autentifikasiya olunmamış xidmətdən imtinaya səbəb olur. Problem, başlıq obyektini null prototipi ilə yaradan @fastify/busboy 3.2.1 versiyasında düzəldilmişdir. İstifadəçilər 3.2.1 versiyasına yüksəltmə etməlidirlər.
Necə düzəltmək olar
- @fastify/busboy3.2.1 və ya daha yeni versiya
- fastify fastify\/busyboy3.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @fastify/busboynpm | 1.0.0 ≤ v < 3.2.1 | 3.2.1 |
| fastify fastify\/busyboy | 1.0.0 ≤ v < 3.2.1 | 3.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.