„`html
Zusammenfassung
Die Schwachstelle CVE-2026-74866 betrifft @fastify/busboy, einen Multipart-Form-Data-Parser für Node.js.
Der Parser behandelt Zeilenumbrüche in Part-Headern unzureichend, wodurch nackte Carriage-Return- oder
Line-Feed-Zeichen in Dateinamen und Feldnamen weitergegeben werden. Dies ermöglicht die Einschleusung von
Steuerzeichen mit kritischen Konsequenzen für abhängige Systeme.
Betroffene Systeme
Folgende Komponenten sind von dieser Schwachstelle betroffen:
- @fastify/busboy in den Versionen bis einschließlich 3.2.1
- @fastify/multipart (abhängig von der busboy-Version)
- Alle Anwendungen, die @fastify/busboy zur Verarbeitung von Multipart-Formulardaten nutzen
Technische Details
Der Multipart-Header-Parser in @fastify/busboy teilt Header-Zeilen ausschließlich am CRLF-Sequenzmuster
(Carriage Return + Line Feed, \r\n) auf. Einzelne CR- oder LF-Zeichen ohne Gegenpart werden nicht als
Zeilenumbruch erkannt und gelangen als Bestandteil des Wertes in die Content-Disposition, Dateinamen
und Feldnamen.
Ein Angreifer kann durch manipulierte Datei-Uploads mit eingebetteten Steuerzeichen:
- Dateisystempfade manipulieren (Filename Pollution)
- Protokoll-Header injizieren (HTTP Header Injection)
- Protokolle und Logs verfälschen (Log Forging)
Der CVSS-Score von 5.8 (Medium) reflektiert das Netzwerkangriffsvektor und begrenzte Auswirkungen,
erfordert aber dennoch sofortige Aufmerksamkeit.
Empfohlene Massnahmen
Zur Behebung dieser Schwachstelle werden folgende Schritte empfohlen:
- Sofort: Upgrade auf @fastify/busboy Version 3.2.2 oder höher durchführen
- Abhängigkeiten aktualisieren:
npm update @fastify/busboy - Abhängige Pakete wie @fastify/multipart auf neueste Versionen prüfen
- Input-Validierung für Dateinamen und Feldnamen implementieren
- Systeme testen und in Produktion deployen
Bewertung
CVSS v3.1 Score: 5.8 (Medium)
Angriffsvektor: Network
Komplexität: Niedrig
Erforderliche Privilegien: Keine
Benutzerinteraktion: Erforderlich
Die Schwachstelle erfordert aktives Handeln, ist aber durch zeitnahe Updates einfach zu beheben.
Eine Verzögerung wird nicht empfohlen.
„`