CVE-2026-117531

@fastify/multipart to wieloczęściowa wtyczka do przesyłania danych i plików dla platformy internetowej Fastify. W wersjach od 5.3.0 do 10.1.6 wtyczka nie propaguje błędu analizatora składni do strumienia pliku, gdy treść żądania kończy się w części pliku bez zamykającej granicy, nawet jeśli wartość Content-Length została ukończona, klient nie przerywa pracy ani nie zostaje przekroczony żaden limit rozmiaru pliku. Wtyczka niszczy strumień pliku w toku bez błędu, więc moduł obsługi, który iteruje części żądania i wykonuje pracę asynchroniczną przed spożyciem pliku, przyłącza się do strumienia, który nigdy nie generuje błędu ani zdarzenia końcowego, a żądanie nigdy nie odpowiada, dopóki połączenie pozostaje otwarte. Nieuwierzytelniony klient zdalny może powtórzyć te zniekształcone przesyłanie na taką trasę, aby zgromadzić oczekujące połączenia i wyczerpać zasoby serwera, więc wpływ ma tylko dostępność, a wykorzystanie zależy od aplikacji korzystającej z opóźnionego konsumenta plików. Problem został rozwiązany w @fastify/multipart 10.1.7, gdzie błąd analizatora jest propagowany do strumienia plików, więc opóźniony konsument zamiast się zawieszać, wyświetla błąd, a użytkownicy powinni dokonać aktualizacji do wersji 10.1.7 lub nowszej. Nie ma innego rozwiązania niż aktualizacja.