CVE-2026-74866 Medium CVSS 5.8/10

🟡 CVE-2026-74866: Medium Schwachstelle

CVE-2026-74866
5.8/10
Medium
Nein
Various
Network

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-74866 betrifft @fastify/busboy, einen Multipart-Form-Data-Parser für Node.js.
Der Parser behandelt Zeilenumbrüche in Part-Headern unzureichend, wodurch nackte Carriage-Return- oder
Line-Feed-Zeichen in Dateinamen und Feldnamen weitergegeben werden. Dies ermöglicht die Einschleusung von
Steuerzeichen mit kritischen Konsequenzen für abhängige Systeme.

Betroffene Systeme

Folgende Komponenten sind von dieser Schwachstelle betroffen:

  • @fastify/busboy in den Versionen bis einschließlich 3.2.1
  • @fastify/multipart (abhängig von der busboy-Version)
  • Alle Anwendungen, die @fastify/busboy zur Verarbeitung von Multipart-Formulardaten nutzen

Technische Details

Der Multipart-Header-Parser in @fastify/busboy teilt Header-Zeilen ausschließlich am CRLF-Sequenzmuster
(Carriage Return + Line Feed, \r\n) auf. Einzelne CR- oder LF-Zeichen ohne Gegenpart werden nicht als
Zeilenumbruch erkannt und gelangen als Bestandteil des Wertes in die Content-Disposition, Dateinamen
und Feldnamen.

Ein Angreifer kann durch manipulierte Datei-Uploads mit eingebetteten Steuerzeichen:

  • Dateisystempfade manipulieren (Filename Pollution)
  • Protokoll-Header injizieren (HTTP Header Injection)
  • Protokolle und Logs verfälschen (Log Forging)

Der CVSS-Score von 5.8 (Medium) reflektiert das Netzwerkangriffsvektor und begrenzte Auswirkungen,
erfordert aber dennoch sofortige Aufmerksamkeit.

Empfohlene Massnahmen

Zur Behebung dieser Schwachstelle werden folgende Schritte empfohlen:

  • Sofort: Upgrade auf @fastify/busboy Version 3.2.2 oder höher durchführen
  • Abhängigkeiten aktualisieren: npm update @fastify/busboy
  • Abhängige Pakete wie @fastify/multipart auf neueste Versionen prüfen
  • Input-Validierung für Dateinamen und Feldnamen implementieren
  • Systeme testen und in Produktion deployen

Bewertung

CVSS v3.1 Score: 5.8 (Medium)
Angriffsvektor: Network
Komplexität: Niedrig
Erforderliche Privilegien: Keine
Benutzerinteraktion: Erforderlich

Die Schwachstelle erfordert aktives Handeln, ist aber durch zeitnahe Updates einfach zu beheben.
Eine Verzögerung wird nicht empfohlen.

„`

📷 Social Media Hashtags Instagram & Facebook
🔗 https://huntingthreats.de/%f0%9f%9f%a1-cve-2026-74866-medium-schwachstelle/ #CVE #Vulnerability #CyberSecurity #ITSecurity #ZeroDay #Patch #InfoSec #CyberThreats #HuntingThreats #Cybersicherheit
💡 Tipp: Auf Instagram 10-15 Hashtags posten • Auf Facebook nur 3-5 verwenden
🛒

Empfohlene Security-Tools

* Affiliate-Links
🔑 Empfohlen
YubiKey Security Key NFC
Hardware-Sicherheitsschlüssel für Zwei-Faktor-Authentifizierung. Schützt Accounts selbst bei gestohlenen Passwörtern.
ab 29,00 € Amazon →
🛡 Netzwerk
GL.iNet GL-MT3000 Reise-Router
VPN-fähiger Pocket-Router mit WiFi 6. Schützt dein Netzwerk unterwegs und zu Hause vor Angriffen.
ab 69,00 € Amazon →
📘 Buch
Hacking & Cyber Security mit KI
Prompt Engineering, Phishing, Pentesting mit ChatGPT. Perfekt für IT-Security Einsteiger und Profis.
ab 24,99 € Amazon →
💻 Buch
Ethical Hacking - Das grosse Buch
Hacking mit Python Schritt für Schritt erklärt. Verstehe wie Angreifer denken und schütze deine Systeme.
ab 39,99 € Amazon →
🐍 Buch
Python für Einsteiger
Programmieren lernen mit Python - Schritt für Schritt zum Python-Profi. Ideal für Security Automation.
ab 29,99 € Amazon →

* Als Amazon-Partner verdiene ich an qualifizierten Käufen. Diese Links helfen dabei, HuntingThreats kostenlos zu betreiben.

Automatisch aggregiert von HuntingThreats am 23.08.2026
Alle CVEs ansehen