CVE-2026-19481

@fastify/busboy bir multipart form-data ayrıştırıcısıdır. 1.0.0 ile 3.2.0 arasındaki sürümlerde, multipart form-data gönderebilen bir saldırgan, adı __proto__ veya constructor gibi prototipten miras alınan bir özellik olan bir parça başlığı göndererek ayrıştırıcıyı çökertebilir. Dahili başlık ayrıştırıcısı, başlıkları düz bir JavaScript nesnesinde saklar ve her değerin bir dizi olduğunu varsayar; bu nedenle, miras alınan bir özellik adı doğru kabul edilen dizi olmayan bir değere çözümlenir ve bir TypeError tetikler. Yaygın pipe entegrasyonunda hata bir olay (event) olarak ortaya çıkar, ancak doğrudan yazma (write) veya sonlandırma (end) kullanımında istisna senkron olarak fırlatılır ve Node.js işlemini sonlandırarak kimlik doğrulaması gerektirmeyen bir hizmet reddine (DoS) neden olabilir. Sorun, başlık nesnesini null prototiple oluşturan @fastify/busboy 3.2.1 sürümünde düzeltilmiştir. Kullanıcıların 3.2.1 sürümüne yükseltme yapması önerilir.